Privacyverklaring

1. Wie ik ben

Bureau De Bok, Straat van Makassar 22, 1183 HA Amstelveen. KvK 97471143. Eigenaar en contactpersoon voor gegevensbescherming: Hester de Bok, hester@bureaudebok.nl, 06 41 77 38 22. Bureau De Bok is een eenmanszaak; bij een wijziging van rechtsvorm pas ik deze verklaring aan.

2. Als je de website bezoekt

De website vraagt je nergens om gegevens. Mail, bel of app je mij, dan bewaar ik je bericht en contactgegevens om te reageren. Voor cookies en bezoekmeting: zie de cookieverklaring. De foto's op de site zijn met AI gemaakt en tonen geen bestaande personen; het portret van Hester de Bok is een echte foto.

3. Als je klant bent: audits, toetsing en advies

Welke gegevens

• Contactgegevens van de opdrachtgever en van de mensen met wie ik tijdens een audit of traject spreek: naam, functie, e-mailadres, telefoonnummer.
• Gegevens die ik tijdens een audit of toetsing inzie: documenten uit het kwaliteitssysteem, dossiers, registraties, meldingen. Daarin kunnen gegevens staan van medewerkers en van patiënten of cliënten.
• Wat ik zelf vastleg: auditrapporten, toetsingsverslagen, adviezen en de opnames en transcripten van gesprekken (zie hieronder).
• Administratieve gegevens: offertes, overeenkomsten, facturen.

Waarom en op welke grond

Om de overeenkomst uit te voeren: de audit, toetsing of het adviestraject dat je met mij hebt afgesproken. Voor de administratie geldt daarnaast de wettelijke bewaarplicht. Voor het opnemen van gesprekken vraag ik toestemming.

Gegevens van medewerkers, patiënten en cliënten

Tijdens een audit of toetsing kan ik dossiers en registraties inzien waarin gegevens staan van medewerkers, patiënten of cliënten. Dat doe ik alleen voor zover nodig om te toetsen of het kwaliteitssysteem werkt. Ik sla deze gegevens niet op, neem ze niet over in rapporten en neem ze niet mee buiten jouw organisatie. Vertrouwelijke gegevens uit personeelsdossiers zie ik in, maar neem ik niet over. In rapporten noem ik de namen van de medewerkers die ik heb gesproken, maar niet wie wat heeft gezegd; bevindingen beschrijf ik zonder herleidbare gegevens van patiënten of cliënten. Geheimhouding en de omgang met deze gegevens leg ik ook vast in mijn algemene voorwaarden en, waar nodig, in een verwerkersovereenkomst.

Opnames van gesprekken

Ik neem gesprekken tijdens audits en toetsingen op en maak daar transcripten van. Dat werkt prettiger en nauwkeuriger dan meeschrijven, en het helpt om hoofdlijnen te ordenen. Daarbij gelden deze regels:

• Aan het begin van elk gesprek vraag ik toestemming. Wie liever niet wordt opgenomen, wordt niet opgenomen.
• De opname en het transcript staan lokaal en beveiligd. De opname gaat niet naar de cloud en er zit geen AI op de opname zelf; het transcript maak ik lokaal op mijn eigen apparaat.
• Opname en transcript worden gewist zodra de rapportage klaar is en is geaccepteerd.
• Het transcript gebruik ik, ontdaan van namen, functies, locaties en organisatiegegevens, om thema's en hoofdlijnen te ordenen. Daarvoor gebruik ik een AI-hulpmiddel (zie 5). De weging en de conclusies blijven van mij: die kader ik zelf en toets ik aan de norm.
• De opdrachtgever krijgt deze werkwijze vooraf, zodat het management er kennis van kan nemen. Bij zwaarwegende bezwaren neem ik niet op.

Hoe lang

• Auditrapporten, toetsingsverslagen en adviezen: zeven jaar na afronding, vanwege de wettelijke bewaarplicht voor de administratie en omdat ze de basis zijn voor de volgende audit in de cyclus.
• Contactgegevens van opdrachtgevers en contactpersonen: bewaar ik als onderdeel van mijn zakelijke netwerk, ook na afloop van een opdracht. Wil je dat niet, dan verwijder ik ze op verzoek.
• Opnames en transcripten: tot de rapportage is geaccepteerd, daarna gewist.
• Offertes, overeenkomsten en facturen: zeven jaar.

4. Als je een cursus volgt of de nieuwsbrief ontvangt

Cursusplatform

Op cursus.bureaudebok.nl maak je een account aan met naam, e-mailadres en wachtwoord. Bij een betaalde cursus verwerk ik ook de factuurgegevens; de betaling loopt via Stripe, dat je betaalgegevens verwerkt volgens zijn eigen privacyverklaring. Ik zie geen kaartnummers. Het platform legt vast welke modules je hebt afgerond, om je certificaat te kunnen uitgeven. Grondslag: de overeenkomst. Accounts bewaar ik tot twee jaar na de laatste keer inloggen; factuurgegevens zeven jaar. De gratis onderdelen (basiscursus en kennisquizzes) zijn zonder account te gebruiken en slaan geen persoonsgegevens op.

Nieuwsbrief

Als klant ontvang je berichten over mijn dienstverlening en, via SKAN, de SKAN-nieuwsbrief. Dat staat in de algemene voorwaarden. Nieuwsbrieven verstuur ik via Mailchimp; je kunt je onder elk bericht afmelden. Wie geen klant is, ontvangt alleen een nieuwsbrief na aanmelding.

5. Met wie ik gegevens deel

Ik verkoop geen gegevens en deel ze alleen met partijen die ik nodig heb om mijn werk te doen. Met elk van hen heb ik een verwerkersovereenkomst of gelden hun standaardvoorwaarden voor gegevensverwerking:

• Microsoft 365 voor e-mail, agenda, documenten, opslag en Teams (servers in de EU).
• Dropbox voor opslag en het delen van bestanden.
• VoiceInk voor transcriptie; dit programma draait lokaal op mijn eigen apparaat en stuurt geen audio naar een server.
• Lovable (hosting website en cursusplatform) en Supabase (database van het cursusplatform, EU).
• Stripe voor betalingen op het cursusplatform.
• Mailchimp voor de nieuwsbrief.
• Resend voor systeemmail vanuit het cursusplatform.
• Google voor bezoekmeting en, na toestemming, advertentiemeting.
• Cloud86 voor domein en e-mailrouting.
• Mijn boekhouder en het boekhoudpakket Snelstart voor de administratie.
• Een vaste zzp-auditor die in mijn opdracht audits uitvoert, onder dezelfde afspraken als hierboven.
• Claude (Anthropic) als AI-hulpmiddel voor het ordenen van geanonimiseerde transcripten en het opstellen van concepten. Voordat een transcript erin gaat, vervang ik namen, functies, locaties en organisatiegegevens, zodat de tekst niet herleidbaar is; opnames gaan er nooit in. Verwerking valt onder de voorwaarden van Anthropic.

Sommige van deze partijen zijn gevestigd in de Verenigde Staten of verwerken daar gegevens. Voor die doorgifte steun ik op het EU-VS Data Privacy Framework of op de standaardcontractbepalingen van de Europese Commissie.

6. Beveiliging

Ik werk met tweestapsverificatie op alle accounts, versleutelde apparaten en beveiligde opslag. Opnames en transcripten staan uitsluitend lokaal. Toegang tot klantgegevens heb alleen ik, en waar nodig de zzp-auditor voor de opdracht waaraan hij werkt. Een datalek meld ik binnen 72 uur bij de Autoriteit Persoonsgegevens als dat verplicht is, en altijd bij de betrokken opdrachtgever.

7. Je rechten

Je hebt recht op inzage, correctie en verwijdering van je gegevens, op beperking van de verwerking, op overdraagbaarheid van gegevens die je zelf hebt aangeleverd, en op bezwaar tegen verwerking op grond van gerechtvaardigd belang. Toestemming die je hebt gegeven, bijvoorbeeld voor een opname of voor cookies, kun je altijd intrekken. Mail naar hester@bureaudebok.nl; ik reageer binnen een maand. Ben je niet tevreden over hoe ik met je gegevens omga, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.

Werk je bij een organisatie die klant is van Bureau De Bok en gaat je vraag over gegevens die ik in opdracht van die organisatie heb ingezien? Dan richt je je in eerste instantie tot je eigen organisatie; ik help hen om je vraag te beantwoorden.

8. Wijzigingen

Ik pas deze verklaring aan als mijn werkwijze of de wet verandert. De datum bovenaan geeft de laatste versie aan.