Privacyverklaring

Versie 2026-09-26

Dit is een eerdere versie van dit document. Bekijk de geldende versie.

Wie zijn wij

PowerShift is een webapplicatie voor personeelsplanning in de horeca. PowerShift wordt aangeboden door [TODO: naam eigenaar/eenmanszaak zoals in het KVK-register] (eenmanszaak), handelend onder de naam PowerShift, ingeschreven bij de Kamer van Koophandel onder nummer [TODO: KvK-nummer], adres: [TODO: zakelijk adres of postadres (straat, postcode, plaats)].

Voor vragen over deze privacyverklaring of over je gegevens mail je naar hello@power-shift.nl. PowerShift heeft geen functionaris voor gegevensbescherming (FG) aangesteld; dat is voor een organisatie van onze omvang en aard niet verplicht. Dit e-mailadres is ons aanspreekpunt voor privacy.

Twee rollen: verantwoordelijke en verwerker

Onder de Algemene Verordening Gegevensbescherming (AVG) hebben wij twee rollen:

• Wij zijn verwerkingsverantwoordelijke voor je account (inloggen en beveiliging), deze website, beveiligings- en technische logs, de facturatie aan organisaties en onze eigen productstatistieken. Voor die verwerkingen bepalen wij het doel en de middelen, en kun je rechtstreeks bij ons terecht.
• Wij zijn verwerker voor de plannings- en personeelsgegevens die wij namens jouw werkgever (de organisatie die PowerShift afneemt) verwerken: je lidmaatschap en contractgegevens, teams, kwalificaties, beschikbaarheid, diensten, ruilverzoeken en dergelijke. Jouw werkgever is daarvoor de verwerkingsverantwoordelijke en bepaalt welke gegevens worden vastgelegd en waarvoor. De afspraken daarover staan in onze Verwerkersovereenkomst.

Wil je een privacyverzoek doen over gegevens die je werkgever in PowerShift bijhoudt (bijvoorbeeld je diensten of beschikbaarheid), richt je dan in eerste instantie tot je werkgever. Wij helpen je werkgever bij het afhandelen van zo’n verzoek. Stuur je het verzoek toch naar ons, dan sturen wij het door naar je werkgever.

Welke gegevens wij verwerken, waarvoor en op welke grondslag

Gegevens waarvoor wij verantwoordelijk zijn

Wij gebruiken geen analytics- of advertentiediensten van derden en maken geen profielen voor marketing.

Gegevens die wij namens je werkgever verwerken

Als verwerker verwerken wij namens je werkgever:

• Geboortedatum — die vragen wij bij het aanmaken van je account of het accepteren van een uitnodiging. Je werkgever gebruikt deze om de regels voor jeugdige werknemers uit de Horeca-CAO en de Arbeidstijdenwet toe te passen: PowerShift toont planners je leeftijdscategorie en geeft signalen bij het plannen. Alleen planners en beheerders van je organisatie zien je geboortedatum; collega’s niet.
• Lidmaatschap en contract — je rol, contractvorm, contracturen, begin- en einddatum, vestiging(en), teams en kwalificaties (bijvoorbeeld een BHV-certificaat).
• Planning — je beschikbaarheid en voorkeursdiensten, de diensten die aan je zijn toegewezen, open diensten die je claimt, ruil- en overnameverzoeken inclusief de toelichting die je daarbij zelf typt, en notities bij evenementen.

Jouw werkgever bepaalt de grondslag hiervoor, doorgaans de uitvoering van de arbeidsovereenkomst, wettelijke verplichtingen (zoals de Arbeidstijdenwet) of een gerechtvaardigd belang bij een goede personeelsplanning.

Minimumleeftijd

PowerShift is bedoeld voor mensen van 13 jaar en ouder. Voor jonge werknemers gelden in Nederland aanvullende regels voor werk; die toepassen is de verantwoordelijkheid van de werkgever.

Cookies en lokale opslag

Deze website (power-shift.nl) plaatst geen cookies en laadt geen scripts, lettertypen of andere bestanden van derden.

De applicatie (app.power-shift.nl) gebruikt uitsluitend strikt noodzakelijke, eigen (first-party) cookies:

Daarnaast bewaart de applicatie in de lokale opslag (localStorage) van je browser je thema, een paar weergavevoorkeuren (zoals de laatst gekozen weergave) en een kopie van je gebruikersprofiel zodat de app sneller laadt. Die gegevens blijven op je apparaat.

Omdat al deze cookies en opslag strikt noodzakelijk zijn voor de dienst die je zelf gebruikt, is daarvoor geen toestemming nodig (art. 11.7a Telecommunicatiewet) en tonen wij geen cookiebanner. Wij plaatsen geen tracking-, analytics- of advertentiecookies.

Met wie wij gegevens delen

Wij verkopen je gegevens nooit en delen ze alleen met partijen die nodig zijn om de dienst te leveren (sub-verwerkers), met elk van hen gelden afspraken die voldoen aan de AVG:

• Hosting, database en back-ups — Scaleway SAS, in datacenters in de EU (regio fr-par (Parijs, Frankrijk)).
• Transactionele e-mail (uitnodigingen, inlogcodes, roostermeldingen) — Scaleway SAS (Transactional Email), regio fr-par (Parijs, Frankrijk).
• Pushdiensten van browsers — alleen als je pushmeldingen aanzet. Een melding gaat via de pushdienst van de maker van je browser, bijvoorbeeld Google (Firebase Cloud Messaging) voor Chrome, Microsoft voor Edge, Mozilla voor Firefox of Apple voor Safari. Welke dienst dat is, bepaalt je browser.
• Betalingen — Mollie B.V. (Nederland), zodra betaalde abonnementen starten. Nu is PowerShift nog gratis en worden er geen betaalgegevens verwerkt.

Binnen een organisatie zien collega’s en planners de gegevens die de organisatie daarvoor heeft ingesteld (bijvoorbeeld het gepubliceerde rooster). Wij verstrekken gegevens verder alleen aan anderen als de wet ons daartoe verplicht.

Als je zelf een agenda-abonnement (iCal) instelt, haalt jouw agenda-app je diensten op via een persoonlijke, geheime link. De aanbieder van die agenda-app verwerkt die gegevens dan onder je eigen keuze en verantwoordelijkheid.

Waar je gegevens staan

Wij slaan alle gegevens op in de Europese Unie en geven ze niet door aan landen buiten de EU/EER. De enige uitzondering zijn pushmeldingen, als je die aanzet: de pushdiensten van onder meer Google, Microsoft, Mozilla en Apple kunnen buiten de EER verwerken. Deze partijen gebruiken daarvoor de waarborgen die de AVG voorschrijft, zoals certificering onder het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie. De inhoud van een pushmelding wordt volgens de Web Push-standaard end-to-end versleuteld; de pushdienst kan de tekst niet lezen, maar ziet wel technische gegevens zoals het abonnementsadres en het tijdstip.

Bewaartermijnen

• Accountgegevens: zolang je account bestaat. Je verwijdert je account zelf via Profiel → Account verwijderen (of met een verzoek per e-mail, zie "Jouw rechten"); je accountgegevens worden dan direct geanonimiseerd en back-ups zijn binnen 30 dagen overschreven.
• Gegevens van een organisatie (planning, lidmaatschappen en andere gegevens die wij namens de werkgever verwerken): zolang de overeenkomst met de organisatie loopt, plus een ophaalperiode van 30 dagen na het einde daarvan; daarna binnen 30 dagen verwijderd. Tijdens de looptijd kan de werkgever ons vragen gegevens van (oud-)medewerkers eerder te verwijderen.
• Back-ups: back-ups roteren en worden binnen 30 dagen overschreven.
• Beveiligings- en technische logs: 90 dagen (sessiegegevens: 90 dagen nadat de sessie is verlopen of beëindigd).
• Auditlog van beheerderstoegang (welke beheerder van PowerShift wanneer wat in de beheeromgeving heeft bekeken of gedaan, met IP-adres en browsertype): 1 jaar.
• Uitnodigingen (het e-mailadres waarnaar een werkgever een uitnodiging heeft gestuurd): een openstaande of geaccepteerde uitnodiging hoort bij de gegevens van de organisatie; uitnodigingen die verlopen, ingetrokken of afgewezen zijn, worden 30 dagen na de vervaldatum van de uitnodiging verwijderd.
• Acceptatie van voorwaarden en verwerkersovereenkomst (welke versie je wanneer hebt geaccepteerd — ons bewijs van de overeenkomst): je eigen akkoord met de gebruiksvoorwaarden en deze privacyverklaring: zolang je account bestaat, plus 2 jaar; het akkoord dat de eigenaar namens een organisatie geeft op de algemene voorwaarden en de verwerkersovereenkomst: zolang die overeenkomst loopt, plus 5 jaar (de wettelijke verjaringstermijn voor contractuele vorderingen, art. 3:307 BW).
• Facturatiegegevens: 7 jaar (fiscale bewaarplicht).
• Gebruiksactiviteit per lidmaatschap: wordt overschreven bij elk actief gebruik; 12 maanden na deactivering van een lidmaatschap gewist.

Beveiligingsgegevens in onze database (sessies, eenmalige codes en het auditlog van beheerderstoegang), uitnodigingen die niet zijn geaccepteerd en gebruiksactiviteit van een beëindigd lidmaatschap worden dagelijks automatisch verwijderd zodra de termijn verstreken is. De gegevens van een organisatie worden na afloop van de ophaalperiode automatisch verwijderd; de eigenaar krijgt daarvan een bevestiging per e-mail. Je account kun je zelf verwijderen; zie hieronder. Overige verwijdering gebeurt op dit moment op verzoek en handmatig, binnen de genoemde termijnen.

Jouw rechten

Je hebt het recht op inzage, rectificatie (correctie), verwijdering, beperking van de verwerking, overdraagbaarheid van je gegevens en het recht om bezwaar te maken. Veel gegevens (naam, taal, notificaties, tweestapsverificatie) kun je zelf aanpassen op je profielpagina.

Een kopie van je gegevens download je zelf via Profiel → Mijn gegevens downloaden, en je account verwijder je zelf via Profiel → Account verwijderen. Je werkgever houdt je naam dan nog bij de diensten die je hebt gewerkt, als eigen administratie. Voor de overige verzoeken mail je naar hello@power-shift.nl. Wij kunnen je vragen je identiteit te bevestigen, bijvoorbeeld door te antwoorden vanaf het e-mailadres van je account. Wij reageren binnen één maand; bij complexe verzoeken kan dat met ten hoogste twee maanden worden verlengd, en dan laten wij je dat weten. Gaat het om gegevens die wij namens je werkgever verwerken, dan betrekken wij je werkgever erbij (zie “Twee rollen” hierboven).

Ben je het niet eens met hoe wij met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens. We stellen het op prijs als je eerst contact met ons opneemt.

Beveiliging

Wij nemen passende technische en organisatorische maatregelen, waaronder: versleutelde verbindingen (TLS), wachtwoorden die alleen als argon2-hash worden opgeslagen, sessiecookies die niet door scripts uitgelezen kunnen worden, bescherming tegen CSRF, databasebeveiliging die gegevens per organisatie van elkaar scheidt (row-level security), optionele tweestapsverificatie, versleutelde opslag van gevoelige kenmerken en hosting en back-ups binnen de EU.

Datalekken

Als er ondanks deze maatregelen een datalek optreedt, beoordelen wij dat direct. Waar de wet dat vereist, melden wij het binnen 72 uur bij de Autoriteit Persoonsgegevens en informeren wij de betrokkenen. Gaat het om gegevens die wij namens een werkgever verwerken, dan informeren wij de werkgever zoals afgesproken in de Verwerkersovereenkomst, zodat die zijn eigen meldplicht kan nakomen.

Wijzigingen

Wij kunnen deze privacyverklaring aanpassen. De datum bovenaan deze pagina geeft aan welke versie geldt. Bij belangrijke wijzigingen informeren wij je vooraf, bijvoorbeeld per e-mail of in de applicatie.