Privacybeleid
1. Wie zijn wij
meteor is een people intelligence platform van deMENSENzaak (“meteor”, “wij”). deMENSENzaak is de commerciële naam van HR Leaders BV, met maatschappelijke zetel te Elisabeth Desoleilstraat 12, 2800 Mechelen (ondernemingsnummer BE1005.400.842). Het platform wordt door werkgevers ingezet om persoonlijkheid, drijfveren, competenties en ontwikkeling van medewerkers in kaart te brengen. Jouw werkgever bepaalt als verwerkingsverantwoordelijke waarvoor je gegevens worden gebruikt; meteor verwerkt die gegevens als verwerker in opdracht van de werkgever, op basis van een verwerkersovereenkomst.
2. Welke gegevens we verwerken
- Accountgegevens: naam, e-mailadres, rol, organisatie, team.
- Profielgegevens: functie, datum in/uit dienst, anciënniteit.
- Assessmentantwoorden en -resultaten (persoonlijkheid en drijfveren).
- Competentie- en ontwikkelgegevens: gap-analyse, ontwikkelplan (POP), KPI's, status en goedkeuringen.
- 360°-feedback: beoordelingen die je geeft of ontvangt binnen een evaluatiecyclus.
- Technische gegevens die nodig zijn voor authenticatie en beveiliging.
3. Doeleinden en rechtsgrond
We verwerken deze gegevens om het platform te leveren: het uitvoeren van assessments, het opstellen van ontwikkelplannen en het faciliteren van evaluaties in het kader van de arbeidsrelatie. Afhankelijk van het gebruik berust de verwerking op de uitvoering van de arbeidsovereenkomst, op een gerechtvaardigd belang van de werkgever bij personeelsontwikkeling, of op jouw toestemming waar die vereist is. Voor toestemmingsgebaseerde verwerking kun je je toestemming op elk moment intrekken.
4. Verwerkers en doorgifte
We schakelen zorgvuldig geselecteerde dienstverleners (sub-verwerkers) in, elk onder een verwerkersovereenkomst:
- Supabase - database, authenticatie en opslag. Het project kan in een EU-regio worden gehost; Supabase biedt een DPA en past Standard Contractual Clauses toe voor eventuele doorgifte buiten de EER.
- Resend - verzending van transactionele e-mails (uitnodigingen, wachtwoordherstel). Resend verwerkt gegevens in de Verenigde Staten onder een DPA met Standard Contractual Clauses.
- Vercel - hosting van de webtoepassing.
- Sentry - foutmeldingen uit de toepassing, zodat storingen gevonden en hersteld kunnen worden. Het gaat om technische gegevens: foutmelding, pagina, browser en tijdstip. Er worden bewust geen gebruikersgegevens meegestuurd en er worden geen schermopnames gemaakt. De gegevens worden in de EU-regio van Sentry verwerkt (Frankfurt).
- Google (Workspace) - opslag van de wekelijkse back-up van de databank in Google Drive. Die back-up is door ons versleuteld (AES-256) vóór ze geüpload wordt; het wachtwoord bewaren wij elders, zodat Google de inhoud niet kan lezen. Google verwerkt onder zijn verwerkersaddendum, met Standard Contractual Clauses voor eventuele doorgifte buiten de EER.
- Anthropic - voorzien, nog niet in gebruik. De toepassing kan optionele AI-suggesties bij een ontwikkelpunt aanbieden. Die functie staat uit: er is geen verbinding met Anthropic en er worden geen gegevens naar Anthropic verzonden. Ze wordt pas ingeschakeld nadat daarvoor een verwerkersovereenkomst gesloten is. Zou ze aanstaan, dan zou er per suggestie enkel dit verzonden worden: het ontwikkelpunt zelf, de functietitel en het kleurprofiel als context, en de naam en de waarden van de organisatie - geen naam, geen e-mailadres en geen gespreksverslagen. Anthropic is in de Verenigde Staten gevestigd; een doorgifte zou onder Standard Contractual Clauses gebeuren.
Waar gegevens buiten de Europese Economische Ruimte worden verwerkt, gebeurt dat met passende waarborgen (Standard Contractual Clauses van de Europese Commissie).
5. Bewaartermijn
We bewaren je gegevens zolang dat nodig is voor de bovenstaande doeleinden en zolang de arbeidsrelatie en de afspraken met je werkgever dat vereisen, of zolang een wettelijke bewaarplicht geldt. Daarna worden de gegevens verwijderd of geanonimiseerd. De concrete bewaartermijn wordt per werkgever vastgelegd in de verwerkersovereenkomst; je werkgever kan je zeggen welke termijn voor jou geldt.
6. Beveiliging
Toegang tot gegevens is strikt afgeschermd per organisatie en per rol via row-level security in de database: medewerkers zien enkel hun eigen gegevens, leidinggevenden enkel hun team, HR enkel de eigen organisatie. Gegevens worden versleuteld opgeslagen en versleuteld verzonden (TLS). Toegang verloopt via authenticatie met e-mailbevestiging.
7. Jouw rechten
Je hebt recht op inzage, correctie, verwijdering, beperking en bezwaar, en op overdraagbaarheid van je gegevens. Omdat je werkgever verwerkingsverantwoordelijke is, richt je een verzoek in de eerste plaats tot je werkgever, bij je HR-verantwoordelijke of op het adres dat je werkgever daarvoor bekendmaakt. Kom je er zo niet, dan kan je ons bereiken via het contactadres onderaan. Je hebt ook het recht een klacht in te dienen bij de Gegevensbeschermingsautoriteit (www.gegevensbeschermingsautoriteit.be).
8. Contact
Vragen over dit privacybeleid? Neem contact op met deMENSENzaak (HR Leaders BV), Elisabeth Desoleilstraat 12, 2800 Mechelen - welkom@demensenzaak.be - 0474/78.69.06. Voor verzoeken over je eigen gegevens richt je je in de eerste plaats tot je werkgever (zie punt 7).
9. Wijzigingen
We kunnen dit privacybeleid van tijd tot tijd aanpassen. De meest recente versie is steeds via het platform beschikbaar, met vermelding van de datum van laatste wijziging.