Privacybeleid

Webapp app.bienenstock-kita.de

In het kort

Hosting & locatie van gegevens

App-databases, hosting en foutbewaking: Duitsland. Cloudflare KV (ouder-app): EU. Technische e-mail (Brevo): hosting Frankrijk/Duitsland (OVH), opslag België (Google Cloud). E-mailbox: Nederland. Kerngegevens uitsluitend in de EU. Uitzonderingen met een verband buiten de EU: Apple/Android-push, walletkaarten, de optionele AI-beeldgeneratie (wereldwijd eindpunt, zie 2.7) en de openbare websites van de voorzieningen (Cloudflare Pages, wereldwijde levering).

Versleuteling

TLS 1.2/1.3 voor elke verzending. Alleen HTTPS. Geen onversleutelde interfaces.

Scheiding & pseudonimiteit

Scheiding per voorziening op databaseniveau via Row-Level Security (controle op kita_id) op elke tabel. De ouder-app werkt zonder externe gebruikersaccounts - toegang uitsluitend via gepseudonimiseerde kindcodes. Optioneel is een gepseudonimiseerde werking van de gehele software mogelijk (afkortingen in plaats van volledige namen).

Doorgifte buiten de EU

Functies met een doorgifte buiten de EU: Apple- en Android-pushmeldingen (ouder-app en personeels-app), walletkaarten, de optionele AI-beeldgeneratie (wereldwijd eindpunt, geen belofte van EU-residentie; zie 2.7 en bijlage C van de AVV) en de openbare websites van de voorzieningen (Cloudflare Pages, wereldwijde levering).

1. Verwerkingsverantwoordelijke en verwerker

Verwerkingsverantwoordelijke in de zin van de AVG (art. 4 nr. 7) voor de verwerking van persoonsgegevens is de betreffende KiTa-träger, respectievelijk de voorziening die de Software gebruikt.

Verwerker overeenkomstig art. 28 AVG is:

997 Ventures UG (haftungsbeschränkt)
Sonnenhof 13
67677 Enkenbach-Alsenborn
E-mail: info@bienenstock-kita.de

De 997 Ventures UG verwerkt persoonsgegevens uitsluitend in opdracht en op instructie van de verwerkingsverantwoordelijke. De verhouding tussen de verwerkingsverantwoordelijke en de verwerker is geregeld in de verwerkersovereenkomst (AVV).

2. Verzameling en verwerking van persoonsgegevens

2.1 Automatisch vastgelegde gegevens (serverlogboeken)

Bij elke toegang tot de webapp worden automatisch de volgende gegevens vastgelegd:

• IP-adres
• Datum en tijdstip van de toegang
• Naam en URL van het/de opgevraagde bestand(en)
• Website waarvandaan de toegang plaatsvindt (verwijzende URL)
• Gebruikte browser, besturingssysteem en toegangsprovider

Ter bescherming tegen het raden van wachtwoorden slaan wij bij mislukte pogingen gedurende ongeveer een uur een niet-omkeerbare controlewaarde op van het netwerk en de onjuist ingevoerde waarde, niet het IP-adres of de waarde zelf.

Doel: totstandbrengen van de verbinding, beveiliging, systeemstabiliteit, detectie van misbruik.
Rechtsgrondslag: art. 6 lid 1 sub f AVG (gerechtvaardigd belang).

2.2 Registratiegegevens

• Naam, e-mailadres, wachtwoord (versleuteld opgeslagen)
• Accountgegevens, eventueel telefoonnummer en organisatie

Doel: uitvoering van de overeenkomst, authenticatie, accountbeheer.
Rechtsgrondslag: art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst).

2.2a Trägerconto's: inzage, uitnodiging en bewerking

Een trägerconto kan de gegevens inzien van de aan de träger toegewezen KiTa's. Houders van een trägerconto kunnen andere gebruikers per e-mail uitnodigen om tot het trägerconto toe te treden. Na aanvaarding van de uitnodiging krijgen deze gebruikers dezelfde toegang: zij kunnen de gegevens van de toegewezen KiTa's inzien en bewerken. Er bestaat geen inzage in gegevens van andere trägers. De uitnodiging en de toewijzing van toegang vallen onder de verantwoordelijkheid van de träger als verwerkingsverantwoordelijke.

Doel: sturing door de träger en samenwerking over meerdere voorzieningen heen.
Rechtsgrondslag: art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst).

2.3 Gebruiksgegevens (bedrijfsvoering van de KiTa)

De verplichte en optionele indeling staat in AVV §3. De echte naam van het kind is niet verplicht; blijft het veld leeg, dan wordt „Geen naam“ weergegeven. De leeftijdscategorie volgt uit de geboortedatum. Per medewerker zijn naam of afkorting, kenmerk/pseudoniem, in- en uitcheck-tijdstempels en - voor zover geconfigureerd - het type personeelslid verplicht. Statistiek- en art. 9-gegevens alsmede voorziening- en configuratiegegevens (bijv. drempelwaarden, openingstijden, termijnen voor het afmelden van maaltijden, voorschriften van de träger) zijn optioneel.

• Basisgegevens: namen, geboortedatum, type opvang/modus, groepslidmaatschappen; optioneel op verzoek van de träger: opvangperiode (begin- en einddatum van het contract)
• Aanwezigheidstijden (breng- en haaltijden via het in- en uitcheckterminal)
• Verworpen incheckacties: blijven na verwijdering van de betrokken persoon bewust bewaard (gedocumenteerde bewaring, zie 8.)
• Arbeids- en aanwezigheidstijden van het personeel (terminal, thuiswerk-check-in en tijdregistraties via de personeels-app), inclusief een kenmerk van de werklocatie per tijdstempel (thuiswerk, uitstapje, buitenshuis)
• Analyses van personeelstijden voor de leiding en de träger (per voorziening en over de hele träger, incl. export); medewerkers kunnen hun eigen tijden inzien
• Verdere basisgegevens van het kind: geslacht, contractuele opvangtijd, deelname aan de lunch, schoolbezoek, weekendopvang, datum van opname, vertrek en archivering; optioneel e-mailadressen en telefoonnummer van de verzorgers in het kindrecord (voor documenten- en maaltijdafrekeningsbewijzen van de träger, en voor de QR-brief, toestemmingsverzoeken en bevestigingen van gespreksafspraken van de voorziening) alsmede optionele afrekeningskenmerken van de maaltijdafrekening
• Optioneel: vrije tekstnotities over het kind, ook zichtbaar voor het personeel in de groepsweergave - de omvang van de persoonsgegevens volgt uit de betreffende invoer
• Optioneel: foto van het kind ter herkenning door het personeel, uitsluitend met de door de ouders verleende vrijgave „Foto des Kindes auf den Geräten der KiTa“; deze wordt niet met AI verwerkt en bij intrekking van de vrijgave verwijderd.
• Personeelsstamgegevens en -planning: type personeelslid/soort dienstverband, personeelsnummer, contractgegevens (indiensttreding, tijdelijkheid, einde contract, derdenbetrekking, praktijkbegeleiding, werkgebieden), dagelijkse/wekelijkse/maandelijkse arbeidstijden, geplande diensten, afwezigheden, dienstroostersjablonen, urensaldo, sessiegegevens van de personeels-app (gehasht opgeslagen)
• Statistiekgegevens (optioneel, uitsluitend voor zover vereist voor een officiële statistiek): o.a. geslacht, geboortemaand/-jaar, klasse/leeftijdsgroep, opvangomvang, woonplaats (kind) alsmede werkomvang, beroepsopleidingsdiploma, positie in het beroep, soort dienstverband, werkgebied en tariefindeling (personeel)
• Bijzondere categorieën (art. 9 AVG): allergieën/intoleranties (gezondheid) alsmede optionele vrije tekst over eetwaarschuwingen (feitelijk allergie- en voedingsgegevens; de omvang volgt uit de betreffende invoer) - bij ingeschakelde toegang voor leveranciers doorgifte aan de door de träger aangewezen maaltijdleverancier; gegevens over handicap of integratiehulp alsmede over herkomst en de voornaamste gezinstaal - optioneel, uitsluitend voor zover vereist voor een officiële statistiek. De verwerking geschiedt uitsluitend in opdracht; de rechtsgrondslag volgens art. 9 lid 2 AVG wordt door de verantwoordelijke träger gewaarborgd
• E-mailadressen van de verzorgers en verzendlogboek (welk document wanneer naar welk adres is verzonden)
• Toepassingseigen foutlogboeken, voor zover de context een persoons-ID bevat (aanvullend op de foutbewaking via Sentry, zie 2.8)
• Enquêtestemmen met apparaat-ID (één stem per apparaat, om meervoudig stemmen te voorkomen)
• Interacties binnen de app, tijdstempels
• Groepsrapporten, dagrapporten en meldingen als vrije tekst; opslag op Duitse servers. Dagrapporten en notities over het kind zien ouders in de ouder-app alleen wanneer het personeel ze uitdrukkelijk met „Met ouders delen“ vrijgeeft en de voorziening de weergave in de ouder-app heeft ingeschakeld (standaard uit)
• Vrijgaven per kind met verlening (tijdstip, herkomst voorziening of ouders, bewoording) en intrekking; toestemmingen van de verzorgers via een bevestigde e-mail. Bij de bevestiging worden noch naam, noch IP-adres, noch apparaat opgeslagen; de bevestiging wordt aangetoond via het opgegeven adres, niet via de persoon.
• Ophaalpersonen (naam, relatie, herkomst, bij melding door ouders de machtigingstekst en het tijdstip van de bevestiging, het tijdstip van de identiteitscontrole zonder identiteitsgegevens), gemelde ophalingen en overdrachtsbewijzen (overgedragen persoon, reden van de uitzondering, bevestigende medewerker, tijdstip)
• Afspraken met aan- en afmeldingen per kind; gespreksverzoeken en personeelsafspraken; ruimtereserveringen
• Optioneel: ouderbetalingen en lidmaatschapsbijdragen (betalingsposten, verwijzingscode, contante betalingen met naam of afkorting van de ontvangende persoon, factuurontvanger) alsmede, bij bankkoppeling, bedrag, boekingsdatum en omschrijving van transacties die aan een ouderbetaling zijn of worden toegewezen (naam en IBAN van de betaler worden alleen bij het ophalen verwerkt, niet opgeslagen; zie 5.)
• Optioneel: opname van een oudergesprek met voorafgaande toestemming (naam, rol, handtekening of bevestigde e-mail); de opname wordt na de analyse verwijderd
• Optioneel (träger): aanmeldingen voor een opvangplaats via het aanmeldportaal

Doel: organisatie van de bedrijfsvoering van de KiTa, vervulling van wettelijke documentatieplichten (volgens het nationale recht van de lidstaat van de verwerkingsverantwoordelijke), documentatie van de capaciteit, officiële statistiek, communicatie met verzorgers inclusief documenten- en maaltijdafrekeningsbewijzen, aansturing van de voeding.
Rechtsgrondslag: art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst) en art. 6 lid 1 sub c AVG (wettelijke verplichting); voor bijzondere categorieën van persoonsgegevens art. 9 lid 2 AVG (in het bijzonder sub g in samenhang met het nationale recht van de lidstaat van de verwerkingsverantwoordelijke, respectievelijk sub a).

2.4 Communicatiegegevens

• Berichten tussen de voorziening en de verzorgers, ook aan één afzonderlijk gezin (in de ouder-app en op verzoek van de voorziening per e-mail namens de voorziening); antwoorden van de verzorgers uitsluitend als vooraf bepaalde actie („OK“, „Aannemen“, „Afspraak“, „Deelnemen“) met tijdstip, geen vrije tekst. Vrijgaven verlenen verzorgers nog steeds uitsluitend via de bevestigde e-mail.
• Afmeldingen voor maaltijden en andere mededelingen via de ouder-app
• Verzending van documenten naar verzorgers per e-mail (adres in het kindrecord) inclusief verzendlogboek (welk document wanneer naar welk adres)
• Interne personeelschat (inhoud, tijdstempel, naam of afkorting van de afzender); niet bestemd voor gevoelige inhoud; automatische verwijdering na de door de voorziening gekozen bewaartermijn (1 tot 7 dagen, standaard 1 dag) om middernacht in de tijdzone van de voorziening; berichten op het prikbord zijn permanent van deze verwijdering uitgesloten. De voorziening kan per regel instellen of het systeem automatische meldingen over de arbeidstijd in de chat plaatst (verplichte pauze standaard uit, „gepland, maar niet aanwezig“ en „dagelijkse arbeidstijd bereikt“ standaard aan, „Niet uitgecheckt“ altijd aan); deze meldingen noemen de betrokken persoon en zijn in de chat zichtbaar voor het team. Correcties van arbeidstijd uit de personeels-app gaan als wijzigingsverzoek naar de leiding, niet naar de teamchat.
• E-mails aan verzorgers namens de voorziening: QR-brief (afhankelijk van de instelling van de voorziening met of zonder ouderwachtwoord), toestemmingsverzoeken, bevestiging van een overeengekomen gespreksafspraak. De e-mails gaan namens de voorziening („[Naam van de voorziening] via Bienenstock“) naar het ene adres dat de voorziening bij het kind heeft vastgelegd. Of zij worden afgeleverd, volgt de Software niet. Verzoeken om vrijgave en opname worden met het ontvangeradres in het verzendlogboek vastgelegd.
• Berichten tussen de voorziening en de träger, inclusief e-mailkopieën naar de distributielijst van de voorziening en doorgestuurde berichten door de träger
• Contactverzoeken en supportberichten
• Geüploade bestanden (bijv. documentatie)

Vrije tekstvelden: op veel plaatsen kunnen gebruikers vrije tekst invoeren: notities, berichten, motiveringen, chat. De inhoud volgt uitsluitend uit de invoer en kan in het individuele geval ook gezondheidsgegevens of gegevens van derden bevatten. De interface vraagt bij velden die de AI-assistent kan lezen om geen gezondheidsgegevens in te voeren; de tekst wordt verzonden en opgeslagen zoals hij is geschreven. De voorziening geeft haar gebruikers instructies over wat in vrije teksten hoort. Wij analyseren vrije teksten niet voor eigen doeleinden. Wie ze kan lezen en wanneer ze worden verwijderd, hangt af van de functie (bijlage 4 van de AVV). Vrije teksten aan ouders of op de website van de voorziening verschijnen pas wanneer de voorziening ze uitdrukkelijk vrijgeeft of publiceert.

Doel: communicatie met ouders, beheer, ondersteuning.
Rechtsgrondslag: art. 6 lid 1 sub b AVG (uitvoering van de overeenkomst) en art. 6 lid 1 sub a AVG (toestemming, bij vrijwillig gebruik van de app).

2.5 Apparaat- en sessiegegevens

• Browsertype, besturingssysteem, apparaatkenmerk
• Apparaat-ID bij enquêtestemmen (uitsluitend om één stem per apparaat te waarborgen)
• Sessie-ID's
• Pseudonieme pushtokens (bij ingeschakelde meldingen), in de ouder-app gekoppeld aan groepen en de op het apparaat opgeslagen kindkenmerken

Doel: beveiliging, levering van pushmeldingen, sessiebeheer.
Rechtsgrondslag: art. 6 lid 1 sub f AVG (gerechtvaardigd belang) en art. 6 lid 1 sub a AVG (toestemming, bij pushmeldingen).

2.6 Ondersteuning via WhatsApp

Wij bieden optioneel ondersteuning via WhatsApp aan. WhatsApp is een dienst van Meta Platforms Inc. met zetel in de VS. Wanneer u dit kanaal gebruikt, geldt het volgende:

• Deel geen persoonsgegevens: verstuur via WhatsApp geen persoonsgegevens of gevoelige gegevens (bijv. namen van kinderen, geboortedata, gezondheidsgegevens, foto's of documenten met persoonsgegevens). Het kanaal dient uitsluitend voor algemene vragen en technische ondersteuning.
• Opslag van gegevens buiten de EU: WhatsApp-berichten worden verwerkt en opgeslagen op servers van Meta Platforms Inc., die ook buiten de Europese Unie (met name in de VS) kunnen staan. Door WhatsApp te gebruiken om contact met ons op te nemen, gaat u ermee akkoord dat de inhoud van uw berichten buiten de EU kan worden opgeslagen.

Doel: optioneel ondersteuningskanaal voor algemene en technische vragen.
Rechtsgrondslag: art. 6 lid 1 sub a AVG (toestemming door actief gebruik van het kanaal). Voor privacyconforme communicatie met persoonsgegevens gebruikt u alstublieft e-mail naar info@bienenstock-kita.de of de communicatiefuncties binnen het Bienenstock-platform.

2.7 AI-functies (Vertex AI / Gemini)

Wij bieden AI-ondersteunde functies aan in de beheeromgeving, in het trägergedeelte, op de groepstablet (spraakdictaat) en, alleen wanneer uw voorziening dit inschakelt, in de personeels-app. De check-in-terminals hebben geen AI-functies; de ouder-app alleen de AI-vertaling, en alleen op het niveau „Alle“. De functies kunnen afzonderlijk worden in- en uitgeschakeld.

Wat de AI over personen te weten komt, bepaalt uw voorziening met het AI-privacyniveau: „Uit“, „Gepseudonimiseerd“ (kinderen en medewerkers uitsluitend als kenmerk, zoals „Kind 7F3A“) of „Alle“ (echte namen van medewerkers en kinderen; standaardinstelling, een latere overstap naar „Alle“ wordt afzonderlijk bevestigd). De träger kan een maximumniveau vaststellen; het lagere niveau geldt. Het niveau geldt voor de functies die bedrijfsgegevens lezen (autopiloot, dienstplan-AI, daganalyse, AI-helper van de personeels-app, träger-autopiloot, maandrapport). Wat uw team zelf schrijft (teamchat, prikborden, notities, afspraken), leest de AI op elk niveau behalve „Uit“ mee zoals het is geschreven, ook de namen daarin. Redenen van afwezigheid gaan nooit op persoonsniveau naar de AI.

Functies die uitsluitend verwerken wat u invoert, uitspreekt of uploadt (dictaat, e-mailhulp, oudergesprek, AI-tekstconcepten, websitebouwer, grondplan, gevaren-AI, handboekconcept, hulp- en AVV-chat), zijn niet aan het niveau gebonden: gegevens gaan daar alleen naar de AI wanneer u de functie in het concrete geval zelf oproept; wie ze niet gebruikt, zendt niets door. Daarnaast kunnen de websitebouwer, het spraakdictaat (daarmee tegelijk e-mailhulp, oudergesprek en AI-tekstconcepten) en het grondplan worden uitgeschakeld; de beeldgeneratie en de AI-helper van de personeels-app werken alleen na inschakeling. AI-functies zijn in de software eenduidig gemarkeerd (paarse knoppen met een sprankelsymbool).

Bescherming bij invoer: wat u in AI-functies invoert, valt onder uw eigen verantwoordelijkheid of die van uw voorziening. Daarnaast weigert de AI invoer met gezondheidsgegevens, andere bijzonder beschermde gegevens, toegangsgegevens of, afhankelijk van het niveau van uw voorziening, namen, en breekt zij af. Dergelijke invoer wordt niet opgeslagen; tot dat moment is zij alleen verwerkt op het EU-eindpunt, zonder training.

Subverwerker is Google Ireland Ltd. / Google Cloud (Vertex AI / Gemini Enterprise Agent Platform), gewaarborgd door de Vertex AI Data Processing Addendum. Invoer wordt niet gebruikt voor het trainen van AI-modellen. Google bewaart invoer in beginsel niet duurzaam; alleen bij een door automatische filters herkend vermoeden van misbruik tot 90 dagen voor misbruikcontrole in de EU. Alle verwerkingen van tekst, spraak en beeldinhoud verlopen via het EU-multiregio-eindpunt (aiplatform.eu.rep.googleapis.com). Uitzondering is het genereren van afbeeldingen (websitebeelden, terminallogo, voorbeeldbeelden van gevarenthema's) via het wereldwijde eindpunt; daarheen gaan uitsluitend beeldbeschrijvingen zonder persoonsgebonden gegevens, bij de beeldgenerator met een niet-EU-model bovendien uw vrije tekst en uw referentiebeelden.

De gegevensstromen in het kort:

• Autopiloot-chat en „Eigen export“ (leiding, na invoer van het beheerwachtwoord): vragen, kengetallen, logboeken per persoon volgens het niveau, groepsnamen, vrije tekst van het team. Voorgestelde acties worden pas uitgevoerd na bevestiging door de leiding.
• Dienstplan-AI: dienstrooster, personen met contractuele tijden, behoefte; werkt alleen op het niveau „Alle“; wijzigt het dienstrooster direct, elke wijziging is gemarkeerd en kan ongedaan worden gemaakt.
• Dagelijkse analyse (automatisch vóór sluitingstijd op dagen met een hoge bezetting, e-mail aan de leiding): de eerste zonder vraag vooraf, verdere alleen na toestemming.
• AI-helper van de personeels-app (alleen na inschakeling): beantwoordt vragen over wat de app de persoon toch al toont; voor medewerkers altijd met kenmerk.
• Träger-autopiloot: kengetallen van de voorzieningen, personeelsgegevens volgens het niveau van elke voorziening, redenen van afwezigheid alleen als aantal; voorzieningen met niveau „Uit“ zijn niet opgenomen. Maandrapport: samengevatte maandkengetallen zonder namen van personeel; door de träger uitschakelbaar.
• Hulp-chat en AVV-chat: uw vragen en productdocumentatie respectievelijk de tekst van de AVV; geen bedrijfsgegevens; niet opgeslagen.
• Spraakdictaat (groepstablet): opname uitsluitend voor omzetting in tekst; de opname kan stemmen van kinderen, namen en observaties bevatten. De opname wordt nooit opgeslagen, de tekst in het dagrapport.
• E-mailhulp: uw voorbeeld-e-mails (die oudercorrespondentie kunnen bevatten) en uw opdracht; het concept wordt opgeslagen tot u het verwijdert en wordt nooit verzonden.
• Oudergesprek: opname tot 30 minuten uitsluitend met vooraf opgeslagen toestemmingen, waaronder minstens één ouder. De AI schrijft een intern verslag en een versie voor de ouders; het verslag blijft opgeslagen tot u het verwijdert; de opname wordt na de analyse verwijderd. Naam van het kind en kindgegevens uit de software gaan niet naar de AI.
• AI-tekstconcepten (vrijgaveteksten, terugkoppeling aan de träger): alleen uw steekwoorden.
• Websitebouwer en beeldgeneratie: uw gegevens in de assistent (EU) en stijlaanduidingen voor beelden (wereldwijd).
• Gevaren-AI, voorbeeldbeeld, handboekconcept, grondplan: onderwerpen en notities van het team, foto's (grondplan- en handboekfoto's worden niet opgeslagen). Het voorbeeldbeeld van een gevarenonderwerp ontstaat automatisch en is via de träger-blokkade „buiten de EU“ uitschakelbaar.
• AI-vertaling (alleen op het niveau „Alle“): e-mails van de voorziening aan ouders (namen, gegevens, links en codes vervangt de software vooraf door plaatshouders), inhoud van de ouder-app (berichten, afspraken, blog, groepsrapporten, dagboeknotities, met alles wat daarin staat) en, op knopdruk van de leiding, het onderwerp van een gespreksverzoek terug naar het Duits. Opgeslagen wordt alleen de vertaling, hoogstens 30 dagen, niet het origineel. Pushmeldingen worden niet vertaald.
• Internetonderzoek (autopiloot, träger-autopiloot, terugkoppeling aan de träger, gevaren): de AI kan een algemene vraag zonder namen of gegevens over personen via Google-zoeken onderzoeken en toont de bronnen. Google kan deze zoekopdrachten tot drie dagen bewaren.
• Beeldgenerator (alleen na vrijgave door de träger en inschakeling): u beschrijft een beeld en kunt referentiebeelden uploaden; u kiest een EU-model of een niet-EU-model, de software toont bij elk model waar het wordt verwerkt. Referentiebeelden en tekst mogen geen personen en geen persoonsgegevens bevatten (zoals vrij beschikbare beelden van het internet). De beelden downloadt u; wij slaan noch de beelden noch de referentiebeelden op.
• Ouderbrieven: een geüploade brief gaat volledig naar de AI, die persoonlijke gegevens door plaatshouders vervangt; opgeslagen wordt alleen de opgeschoonde sjabloon. Bij het schrijven en vertalen ziet de AI alleen plaatshouders, nooit namen of gegevens van kinderen; de waarden vult de software in. Verzending per e-mail alleen met het beheerwachtwoord, met verzendlogboek; niet afgeleverde e-mails verschijnen zonder adres als melding.
• AI-gegevenswaakhond (standaard aan): controleert teksten aan ouders en het publiek vóór verzending, eerst zonder AI op de namen van de kinderen, daarna met AI (namen van kinderen vervangen door plaatshouders). De AI-gegevenswaakhond werkt alleen op het niveau „Alle“; zonder AI-tegoed alleen de naamcontrole zonder AI. De AI wijzigt de tekst niet; een kritische tekst verzendt alleen de leiding met het beheerwachtwoord. Niets daarvan wordt opgeslagen.

Opslag bij ons: het verloop van autopiloot en dienstplan-AI volgens de door de voorziening gekozen termijn van één tot zeven dagen (standaard tot het einde van de kalenderdag); vertalingen hoogstens 30 dagen; bevestigde acties, wijzigingen van de dienstplan-AI, dagelijkse analyses en maandrapporten tot verwijdering na het einde van de overeenkomst (AVV §8); e-mailconcepten, gespreksverslagen en toestemmingen tot verwijdering door de voorziening; per aanroep één gebruiksgegeven zonder inhoud voor het AI-tegoed. Fouten gaan naar Sentry zonder chat-, prompt-, audio- of beeldinhoud (2.8).

Doel: advies, dienstroosterplanning, inlichtingen, analyses voor de träger, productondersteuning, tekstopstelling, documentatie van oudergesprekken, risicobeoordeling, illustratie en ruimteplanning, telkens volgens het niveau en de schakelaars.

Rechtsgrondslag: art. 6 lid 1 sub b AVG in het kader van de opdracht van de KiTa-träger; voor opnamen van oudergesprekken daarnaast de toestemming van de deelnemers. De informatiedialoog vóór het eerste gebruik van afzonderlijke AI-functies dient de transparantie en is geen toestemming in de zin van art. 6 lid 1 sub a AVG. Details in bijlage C van de AVV.

2.8 Foutbewaking (Sentry)

Voor het herkennen en verhelpen van technische fouten gebruiken wij Sentry (Functional Software, Inc.) in de EU-regio Frankfurt (FRA, Duitsland). Verzonden worden foutmeldingen, stacktraces en technische metadata. Chatinhoud, prompts, audio en formuliergegevens worden niet naar Sentry gestuurd; bij fouten bij het dictaat hoogstens bytegrootte en MIME-type. Daarnaast is Session Replay actief: deze legt schermverlopen van de webapp vast om fouten te reproduceren, ook op tablets en op de openbare pagina's voor verzorgers (bijv. aanmeldportaal, bevestigingspagina). Teksten en invoer worden daarbij gemaskeerd, beelden en media niet opgenomen. Voor zover de maskering in het individuele geval niet werkt, kunnen zichtbare namen erin voorkomen. Opslag in de EU-regio Frankfurt.

Daarvan te onderscheiden zijn toepassingseigen foutlogboeken in de KiTa-database (error_logs). Deze kunnen in de foutcontext een persoons-ID bevatten, zodat een technisch incident kan worden gekoppeld aan de betreffende incheck- of stamgegevenactie. Zij blijven op de Duitse servers en worden niet naar Sentry verzonden.

Doel: bedrijfszekerheid, foutherstel, kwaliteitsborging.
Rechtsgrondslag: art. 6 lid 1 sub f AVG (gerechtvaardigd belang bij een stabiele en veilige werking) respectievelijk art. 6 lid 1 sub b AVG in het kader van de opdracht.

2a. Betrokken personen

• Kinderen van de voorziening
• Ouders / verzorgers
• Medewerkers van de voorziening
• Gebruikers van trägerconto's, inclusief personen die per uitnodiging zijn toegevoegd
• Ophaalbevoegde personen
• Aanvragers van een opvangplaats (kinderen en verzorgers)
• Factuurontvangers bij lidmaatschapsbijdragen; betalers bij ouderbetalingen (uitsluitend bij bankkoppeling)
• Deelnemers aan opgenomen oudergesprekken
• Ontvangers van e-mailkopieën en doorgestuurde berichten

3. Camera en microfoon

Check-in-terminal: De camera dient daar uitsluitend voor het herkennen van QR-codes. Hoewel zij permanent ingeschakeld kan zijn, vindt geen videobewaking plaats: geen opname of opslag van beeldmateriaal, geen observatie of analyse van personen of omgevingen, geen doorgifte; de herkenning vindt lokaal op het apparaat plaats.

Foto van het kind (optioneel): In de groepsweergave kan het personeel met de camera een foto van een kind maken of een bestand kiezen, uitsluitend wanneer de verzorgers de vrijgave „Foto des Kindes auf den Geräten der KiTa“ hebben verleend. De foto wordt op het apparaat verkleind, van locatiegegevens ontdaan en pas daarna opgeslagen.

Overige foto's (optioneel): Voor gevarenonderwerpen, het grondplan en handboekconcepten kunnen foto's worden gemaakt of geüpload (zie 2.7).

Microfoon (optioneel): Het spraakdictaat neemt alleen op zolang de gebruiker het actief start; de opname wordt uitsluitend in tekst omgezet en nooit opgeslagen. De leiding kan een oudergesprek opnemen, uitsluitend met vooraf opgeslagen toestemming van minstens één ouder; de opname wordt na de analyse verwijderd.

4. Ouder-app en personeels-app

De ouder-app (afzonderlijke app zonder gebruikersaccount; gebruik via een gepseudonimiseerde kindcode) biedt optionele functies zoals pushmeldingen en digitale walletkaarten. Daarnaast worden API-verzoeken van de ouder-app (bijv. afmeldingen voor maaltijden, afmeldingen van kinderen, eerder ophalen, algemene berichten, KiTa-status, enquêtestemmen) via Cloudflare Workers doorgestuurd naar de KiTa-database (Supabase). Daarbij worden gepseudonimiseerde kind-ID's en KiTa-ID's overgedragen. Enquêtestemmen worden gekoppeld aan een apparaat-ID, zodat per apparaat slechts één stem wordt geteld; de apparaat-ID dient uitsluitend dat doel. In- en uitcheck-tijden van kinderen worden niet via Cloudflare verwerkt. Deze functies gebruiken aanvullende dienstverleners (Expo, Cloudflare), die niet voor de webapp worden ingezet.

De personeels-app (mobiele telefoon, afzonderlijke store-app) stuurt haar verzoeken rechtstreeks naar de toepassing in Frankfurt. Medewerkers zien hun arbeidstijden en het dagplan van het team en kunnen check-in voor thuiswerk, afwezigheids- en ziekmeldingen en berichten in de interne personeelschat versturen; een wallet-dienstbadge is optioneel. Correcties van arbeidstijd gaan als wijzigingsverzoek naar de leiding, niet naar de teamchat. De voorziening kan de app en afzonderlijke functies (teamchat, in- en uitstempelen, berichten aan ouders) in haar instellingen uitschakelen (standaard aan). In de privacymodus „Privételefoons“ (standaardinstelling) toont de app geen stamgegevens van kinderen, bij kinderen alleen cijfers; in de modus „Dienstapparaten“, die de voorziening alleen voor eigen apparaten kiest, mag zij namen van kinderen uit de eigen groep tonen, voor zover een functie dat nodig heeft. Kindcodes toont zij in geen enkele modus. Vrije teksten van collega's of de leiding en het door ouders genoemde onderwerp van een gespreksafspraak kunnen gegevens over kinderen bevatten. De leiding kan een afzonderlijke persoon een bericht in diens postvak in de app sturen. Een AI-helper voor de personeels-app kan de voorziening inschakelen (standaard uit); dan kunnen medewerkers vragen stellen over hun in de app zichtbare gegevens (zie 2.7). Pushmeldingen ontvangt alleen wie die op het eigen apparaat heeft toegestaan. Wij raden aan de personeels-app op zakelijke apparaten die eigendom zijn van de voorziening te gebruiken.

Gebruikers van de ouder-app en de personeels-app stemmen in de app zelf in met de privacyverklaring en gebruiksvoorwaarden daarvan; zonder die instemming kan de app niet worden gebruikt. Daar worden ook de pushmeldingen toegelicht; zij kunnen op elk moment in de instellingen van het apparaat worden uitgeschakeld.

Volledige toelichtingen: Privacyverklaring van de ouder-app · Privacyverklaring van de personeels-app.

5. Subverwerkers en doorgifte aan derden

Persoonsgegevens worden uitsluitend in de volgende gevallen doorgegeven:

• Voor de uitvoering van de overeenkomst of voor de exploitatie van de app aan subverwerkers (art. 6 lid 1 sub b AVG)
• Bij een wettelijke verplichting (art. 6 lid 1 sub c AVG)
• Bij een gerechtvaardigd belang (art. 6 lid 1 sub f AVG)
• Met uitdrukkelijke toestemming (art. 6 lid 1 sub a AVG)

De volgende subverwerkers worden ingezet. Met elk bestaat een verwerkersovereenkomst (DPA):

De volledige lijst met certificeringen staat in bijlage 1 van de AVV.

Voor het meten van het bereik van de webapp gebruiken wij Vercel Web Analytics van onze hostingprovider Vercel (zie tabel): samengevatte paginastatistieken, zonder cookies. Tracking- of advertentietools gebruiken wij niet.

Maaltijdleverancier: Is de optionele toegang voor leveranciers ingeschakeld, dan kan de door de träger aangewezen maaltijdleverancier eetwaarschuwingen (inclusief allergie- en voedingsgegevens) inzien. De leverancier is ontvanger op aanwijzing van de verwerkingsverantwoordelijke, niet subverwerker van de 997 Ventures UG.

Bankkoppeling (optioneel): Koppelt de voorziening haar eigen bankrekening (bijv. bij Qonto), dan roept Bienenstock daar op aanwijzing van de voorziening uitsluitend alleen-lezend transacties op om ouderbetalingen toe te wijzen. De bank is contractpartner van de voorziening, niet subverwerker van de 997 Ventures UG. Naam en IBAN van betalers worden daarbij opgehaald, maar niet opgeslagen; opgeslagen worden uitsluitend omschrijving, bedrag en boekingsdatum van toegewezen of nog toe te wijzen ontvangsten en van uitgaven die de voorziening aan een aanleiding toewijst. Alle overige transacties worden weggegooid.

Betaling van het contract per creditcard: Betaalt een klant (träger of voorziening) de gebruiksvergoeding per creditcard, dan verwerkt Stripe Payments Europe, Ltd. (Ierland) de betaling. Stripe ontvangt daarvoor naam, e-mailadres, factuurgegevens en de kaartgegevens; de kaartgegevens ontvangt uitsluitend Stripe, niet wij. Gegevens van kinderen, ouders of personeel worden niet aan Stripe doorgegeven. Stripe is daarvoor zelf verwerkingsverantwoordelijke, niet subverwerker. Rechtsgrondslag: art. 6 lid 1 sub b AVG.

6. Gegevensoverdracht buiten de EU

Alle persoonsgegevens van de kern van de webapp worden uitsluitend opgeslagen op servers binnen de Europese Unie (hoofdlocatie: Supabase, Frankfurt/AWS). Serverless functions en gegevensopslag bij Vercel alsmede foutbewaking (Sentry) zijn geconfigureerd op Frankfurt. Technische e-mails (Brevo) worden gehost bij OVH in Frankrijk en Duitsland; de gegevensopslag bij Brevo vindt plaats bij Google Cloud in België. Er is geen configuratie voor duurzame opslag buiten de EU.

Wettelijke waarborgen ten aanzien van Amerikaanse moedermaatschappijen: Supabase Inc., Vercel Inc., Functional Software, Inc. (Sentry) en Google (Vertex AI alsmede opslag van technische e-mails bij Google Cloud België via Brevo) hebben hun zetel respectievelijk hun moedermaatschappij in de VS. Mogelijke toegangsmogelijkheden - in het bijzonder op grond van de US CLOUD Act - worden afgedekt door het adequaatheidsbesluit EU-VS Data Privacy Framework (Uitvoeringsbesluit (EU) 2023/1795) en aanvullend door standaardcontractbepalingen (SCC's) overeenkomstig art. 46 lid 2 sub c AVG (Uitvoeringsbesluit (EU) 2021/914). Duurzame opslag van persoonsgegevens van de kern buiten de EU vindt niet plaats.

Uitzondering AI-beeldgeneratie: De optionele beeldgeneratie (websitebeelden, terminallogo, voorbeeldbeelden van gevarenonderwerpen) draait op het wereldwijde Vertex-eindpunt en ontvangt uitsluitend beeldbeschrijvingen zonder persoonsgebonden gegevens, omdat Google beeldmodellen niet op de EU-multiregio aanbiedt. Bij de beeldgenerator kiest u tussen een EU-model en een niet-EU-model; bij het niet-EU-model gaan uw vrije tekst en uw referentiebeelden daarheen. Voor deze gegevensstroom bestaat geen toezegging van EU-residentie. Grondslag voor de doorgifte zijn DPF en SCC's ten aanzien van Google; details in bijlage C van de AVV.

Opmerking over de mobiele apps: Voor de afzonderlijke ouder-app (zonder account, gepseudonimiseerd) en de personeels-app worden aanvullende diensten ingezet:

• Cloudflare (API-doorgifte van de ouder-app, pushverzending van beide apps) - gegevensresidentie in de EU (Frankfurt / Cloudflare Regional Services en Cloudflare KV). API-transit zonder toegang tot de Supabase-database. In Cloudflare KV blijvend per voorziening opgeslagen: ouderwachtwoord van de voorziening, naam van de voorziening, pushtokens en apparaat-ID's met groepstoewijzing en de op het apparaat opgeslagen kindkenmerken (zodat kindgebonden mededelingen alleen de apparaten van dat kind bereiken); walletpassen met kindnaam tot 5 minuten.
• Apple Push Notification service, Firebase Cloud Messaging, Expo - pushbezorging voor iOS/Android via de Cloudflare-pushworker, alleen wanneer de persoon meldingen op het eigen apparaat heeft toegestaan. Soorten: statuswijzigingen van het verkeerslicht (ouder- en personeels-app, alleen geel/rood, vaste teksten, niet bij groen, niet op sluitingsdagen/buiten de openingstijden). Ouder-app: groepsbericht (titel en tekst zoals door het personeel), bericht van de voorziening aan een gezin (vaste titel zonder tekst, alleen naar de apparaten van dat kind), afspraakherinnering, gespreksafspraak, nieuw gedeeld dagrapport respectievelijk nieuwe notitie (zonder inhoud en zonder namen) en binnengekomen betaling (bedrag en aanleiding, geen naam van het kind, alleen naar de apparaten van dat kind). Personeels-app: teamchat (naam en tekst, afhankelijk van de markering naar het team, een groep of één persoon), oproep aan een persoon, automatische meldingen over de arbeidstijd (aan de betrokken persoon, „gepland, maar niet aanwezig“ aan het personeel van de groep), personeelsafspraak (zonder namen). Platformgebonden deels wereldwijde (VS-)infrastructuur, technisch noodzakelijk. Vakgegevens blijven in Supabase Frankfurt. Berichtinhoud alleen in transit, zonder duurzame opslag bij deze diensten. Een technische filtering van vrije teksten vindt niet plaats.

Cloudflare verwerkt geen in- en uitcheck-tijden van kinderen of personeel. Details over alle subverwerkers van de mobiele apps vindt u in de Privacyverklaring van de ouder-app en de Privacyverklaring van de personeels-app.

7. Cookies en vergelijkbare technologieën

Wij gebruiken uitsluitend technisch noodzakelijke cookies om de functionaliteit van de webapp te waarborgen (bijv. sessiebeheer, authenticatie).

Rechtsgrondslag: art. 6 lid 1 sub f AVG (gerechtvaardigd belang) voor technisch noodzakelijke cookies. Tracking- of marketingcookies worden niet gebruikt.

8. Bewaartermijn

Persoonsgegevens worden uitsluitend zolang opgeslagen als dit voor het bereiken van de verwerkingsdoeleinden noodzakelijk is of de verwerkingsverantwoordelijke (KiTa-träger) een langere bewaring opdraagt.

In het bijzonder geldt:

• Aanwezigheidsgegevens (breng- en haaltijden): bewaartermijnen voor voorzieningsgebonden registraties, ook ter onderbouwing van de bezetting van de voorziening, kunnen volgen uit het nationale recht van de lidstaat van de verwerkingsverantwoordelijke alsmede uit begrotings- of fiscale voorschriften. Deze verplichting rust op de träger als verwerkingsverantwoordelijke. Wij bewaren de gegevens in zijn opdracht, zolang hij dat bepaalt en uiterlijk tot het einde van de overeenkomst. Daarvoor kan de träger alle gegevens exporteren; daarna verwijderen wij ze (AVV §8).
• Verworpen incheckacties: blijven na verwijdering of archivering van de betrokken persoon bewust bewaard (gedocumenteerde bewaring ter reconstructie van de terminalacties). Zij worden samen met de overige gegevensvoorraad verwijderd of teruggegeven (AVV §8).
• Registratiegegevens: gedurende de looptijd van de overeenkomst en 30 dagen na opzegging (exporttermijn voor gegevens).
• Serverlogboeken: maximaal 90 dagen, tenzij er een beveiligingsincident is.
• Interne personeelschat: automatische verwijdering na de door de voorziening gekozen bewaartermijn (1 tot 7 dagen, standaard 1 dag), telkens om middernacht in de tijdzone van de voorziening; dit geldt ook voor automatische meldingen in de chat. Berichten op het prikbord zijn permanent van deze verwijdering uitgesloten en blijven bewaard totdat ze handmatig worden verwijderd of de overeenkomst eindigt.
• Groepsrapporten, dagrapporten en meldingen (vrije tekst): opslag op Duitse servers zolang de träger ze aanhoudt respectievelijk de overeenkomst bestaat.
• Notities over het kind, kinderfoto, contactgegevens van verzorgers in het kindrecord: zolang het kindrecord bestaat respectievelijk de overeenkomst duurt; de kinderfoto wordt bij intrekking van de vrijgave verwijderd. Notities en foto zijn optioneel; de inhoud volgt uit de betreffende invoer.
• Toestemmingsverzoeken per e-mail: ontvangeradres en controlewaarde van de link worden verwijderd bij bevestiging, bij vervanging door een nieuw verzoek of uiterlijk ongeveer een uur na het verstrijken van de link van een uur; onbevestigde verzoeken na 30 dagen. Bevestigde verzoeken blijven als bewijs bewaard. Het verzendlogboek van vrijgave- en opnameverzoeken blijft bewaard tot de voorziening het verwijdert, uiterlijk tot het einde van de overeenkomst.
• Toestemmingen voor de opname van een oudergesprek: niet gebruikte na 30 dagen, met het beeld van de handtekening; gebruikte blijven bij het gesprek bewaard totdat de voorziening het gesprek verwijdert.
• Aanmeldingen in het aanmeldportaal: onbevestigde na zeven dagen; afgewezen of ingetrokken twaalf maanden na afronding.
• Mislukte wachtwoordpogingen: controlewaarden na ongeveer een uur.
• Banktransacties (bij bankkoppeling): omschrijving, bedrag en boekingsdatum van opgeslagen transacties (zie 5.), zolang de träger ze aanhoudt respectievelijk de overeenkomst bestaat; naam en IBAN nooit. Door de voorziening uitgesorteerde ontvangsten behouden alleen het transactiekenmerk en het bedrag, zodat zij niet opnieuw worden ingelezen.
• Verzendlogboek naar verzorgers: bewijs welk document of welk maaltijdafrekeningsbewijs wanneer naar welk adres is verzonden; zolang de träger het aanhoudt respectievelijk de overeenkomst bestaat.
• Enquêtestemmen: met apparaat-ID (één stem per apparaat); zolang de enquête respectievelijk de overeenkomst bestaat.
• Toepassingseigen foutlogboeken (error_logs): inclusief persoons-ID in de foutcontext; op Duitse servers, zolang dit voor het herstel van fouten nodig is respectievelijk de overeenkomst bestaat.
• AI-functies: verloop van autopiloot en dienstplan-AI volgens de door de voorziening gekozen termijn van 1 tot 7 dagen (standaard tot het einde van de kalenderdag), daarna automatische verwijdering; vertalingen hoogstens 30 dagen (alleen de vertaling, niet het origineel); hulp-chat, AVV-chat, träger-autopiloot en AI-helper van de personeels-app zonder opslag. Bevestigde autopiloot-acties, wijzigingen van de dienstplan-AI, dagelijkse analyses en maandrapporten, zolang de träger ze aanhoudt respectievelijk de overeenkomst bestaat. E-mailconcepten, gespreksverslagen en toestemmingen voor opnamen, tot de voorziening ze verwijdert, uiterlijk tot het einde van de overeenkomst. Gebruiksgegevens zonder inhoud voor het AI-tegoed tot het einde van de overeenkomst. Spraakopnamen nooit duurzaam. Bij Google alleen bij vermoeden van misbruik tot 90 dagen (zie 2.7).
• Dictaat-audio: spraakinvoer uitsluitend voor transcriptie; het audiobestand wordt nooit opgeslagen. Alleen de getranscribeerde tekst in het dagrapport op Duitse servers, zolang de träger die aanhoudt.
• Foutrapporten (Sentry): technische gebeurtenissen zonder chat-, prompt- of audio-inhoud alsmede Session Replay van de webapp (teksten en invoer gemaskeerd, zie 2.8), beperkt tot de bij Sentry in de EU-regio Frankfurt geconfigureerde bewaartermijn.

Na beëindiging van de overeenkomst worden de gegevens binnen 30 dagen naar keuze van de verwerkingsverantwoordelijke verwijderd of teruggegeven (zie AVV §8). Het is de verantwoordelijkheid van de KiTa-träger om vóór verwijdering te zorgen voor de naleving van zijn wettelijke bewaarplichten.

9. Onderscheid: verplichte en vrijwillige gegevens

Verplichte gegevens (breng- en haaltijden)

De registratie van de breng- en haaltijden vindt plaats aan het in- en uitcheckterminal in de KiTa. Deze documentatie is wettelijk voorgeschreven (volgens het nationale recht van de lidstaat van de verwerkingsverantwoordelijke) en maakt deel uit van het opvangcontract. Een opt-out is niet mogelijk.

Vrijwillige gegevens (via de ouder-app)

De ouder-app werkt zonder gebruikersaccount; het gebruik verloopt via een gepseudonimiseerde kindcode uit het KiTa-systeem. Namen of contactgegevens voeren ouders alleen in wanneer de voorziening daarvoor functies inschakelt (bijv. het melden van een nieuwe ophaalpersoon of het aanvragen van een gesprek; beide standaard uit). Gepseudonimiseerde gegevens blijven persoonsgegevens in de zin van de AVG. Alle via de app verzonden informatie - bijv. afmeldingen voor maaltijden, ophaalmeldingen of andere mededelingen - is vrijwillig. Er bestaat geen verplichting om de app te gebruiken. Details: Privacyverklaring van de ouder-app.

Personeels-app

De personeels-app is een afzonderlijke store-app voor medewerkers (kenmerk/pseudoniem, tijdregistraties, chat). Details: Privacyverklaring van de personeels-app.

10. Rechten van betrokkenen

Als betrokkene - en als ouder of verzorger namens uw kind - heeft u de volgende rechten op grond van de AVG:

• Recht op inzage (art. 15 AVG): u kunt inzage vragen in de opgeslagen gegevens.
• Recht op rectificatie (art. 16 AVG): onjuiste of onvolledige gegevens kunt u laten corrigeren.
• Recht op wissing (art. 17 AVG): behoudens wettelijke bewaarplichten van de träger (art. 17 lid 3 sub b AVG, bijv. volgens het nationale recht van de lidstaat van de verwerkingsverantwoordelijke).
• Recht op beperking van de verwerking (art. 18 AVG): u kunt beperking van de verwerking verlangen.
• Recht op gegevensoverdraagbaarheid (art. 20 AVG): u kunt uw gegevens in een machineleesbaar formaat ontvangen.
• Recht van bezwaar (art. 21 AVG): voor vrijwillig verstrekte gegevens te allen tijde mogelijk. Voor verplichte gegevens bestaat geen recht van bezwaar (art. 6 lid 1 sub c AVG).
• Intrekking van de toestemming (art. 7 lid 3 AVG): verleende toestemmingen kunnen te allen tijde met werking voor de toekomst worden ingetrokken.

Verantwoordelijkheid: verwerkingsverantwoordelijke voor de gegevensverwerking is de betreffende KiTa-träger. De 997 Ventures UG verwerkt de gegevens als verwerker uitsluitend in opdracht en op instructie van de KiTa. Verzoeken betreffende uw rechten richt u aan uw KiTa.

Klachtrecht (art. 77 AVG): u heeft het recht een klacht in te dienen bij een toezichthoudende autoriteit voor gegevensbescherming, met name in de lidstaat van uw verblijfplaats, uw werkplek of de plaats van de vermoedelijke inbreuk. Voor de 997 Ventures UG als verwerker is de Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI RLP) [verify] bevoegd. Voor de verwerking door uw KiTa is de toezichthouder van de träger bevoegd, in Frankrijk de Commission nationale de l'informatique et des libertés (CNIL) [verifiziert], in Nederland de Autoriteit Persoonsgegevens (AP) [verifiziert].

11. Gegevensbeveiliging

Wij passen uitgebreide technische en organisatorische maatregelen toe overeenkomstig art. 32 AVG:

• Versleuteling: TLS 1.2/1.3 bij overdracht (alleen HTTPS, geen onversleutelde interfaces), AES-256 bij opslag
• Toegangscontroles: op rollen gebaseerde toegangsbeperking, authenticatie; scheiding per klant op databaseniveau via Row-Level Security (controle op kita_id) op elke tabel. Trägerconto's (inclusief uitgenodigde gebruikers) zien en bewerken de gegevens van de aan de träger toegewezen KiTa's, niet die van andere trägers
• Beschikbaarheid: regelmatige back-ups, redundante infrastructuur, DDoS-bescherming
• Pseudonimisering: kindcodes in plaats van volledige namen in de ouder-app; optioneel gepseudonimiseerd gebruik van de webapp mogelijk
• Controle: regelmatige beveiligingsaudits, evaluatie van de maatregelen

Melding van inbreuken op persoonsgegevens: bij een inbreuk op de beveiliging van persoonsgegevens informeren wij de verwerkingsverantwoordelijke onverwijld, uiterlijk echter binnen 24 uur na kennisneming, zodat deze zijn meldingsplicht van 72 uur jegens de toezichthoudende autoriteit overeenkomstig art. 33 AVG kan nakomen.

De opslag van de kerngegevens vindt uitsluitend plaats op servers in de Europese Unie. Voor de uitzondering van de optionele AI-beeldgeneratie (wereldwijd eindpunt) zie 2.7. Gedetailleerde TOM's worden op verzoek ter beschikking gesteld.

12. Bescherming van minderjarigen

Onze webapp richt zich primair op ouders en verzorgers en op medewerkers van de kinderopvang. De verwerking van persoonsgegevens van kinderen vindt uitsluitend plaats in het kader van de opvangrelatie en op grond van het opvangcontract tussen de KiTa en de ouders of verzorgers.

13. Pseudonimisering

De Software biedt de mogelijkheid om te werken met gepseudonimiseerde gegevens van kinderen en van het personeel. In de ouder-app worden standaard kindcodes gebruikt in plaats van volledige namen. Voor verdere pseudonimiseringsopties in de webapp kunt u contact opnemen via info@bienenstock-kita.de.

14. Transparantie-informatie overeenkomstig art. 13 en 14 AVG

De KiTa of de träger is op grond van art. 4 nr. 7 AVG de verwerkingsverantwoordelijke voor de gegevensverwerking en daarmee verplicht de betrokkenen (ouders, medewerkers) over de verwerking te informeren.

Op ons platform stellen wij een modelformulier voor transparantie-informatie ter beschikking. Voor de volledigheid en rechtmatigheid bij gebruik van dit formulier aanvaardt de verwerker geen aansprakelijkheid.

15. Sociale gegevens en melding overeenkomstig § 80 SGB X

Niet van toepassing buiten Duitsland.

16. Gekoppelde documenten

De volgende documenten maken deel uit van het gegevensbeschermingsconcept en vullen deze privacyverklaring aan:

• Verwerkersovereenkomst (AVV) - inclusief bijlage 1 (subverwerkers) en bijlage C (AI-functies)
• Privacyverklaring van de ouder-app
• Privacyverklaring van de personeels-app
• Gebruiksvoorwaarden

17. Wijzigingen van deze privacyverklaring

Wij behouden ons het recht voor deze privacyverklaring waar nodig aan te passen. De actuele versie is te allen tijde raadpleegbaar via beenest.co/nl/privacy.

Bij vragen over gegevensbescherming kunt u zich wenden tot: info@bienenstock-kita.de