Privacyverklaring

Deze privacyverklaring geeft informatie over de verwerking en de bescherming van uw persoonsgegevens.

1. Inleiding

OneLane Holding B.V. (hierna: 'OneLane') hecht grote waarde aan de bescherming van uw persoonsgegevens. OneLane verzamelt en verwerkt persoonsgegevens in overeenstemming met de Algemene Verordening Gegevensbescherming van 27 april 2016 (Verordening (EU) 2016/679, hierna: 'AVG') en de Uitvoeringswet AVG (UAVG).

De onderstaande informatie heeft betrekking op de verwerking 'Beheer van ZZP-detacheringsrelaties en opdrachtmatch', uitgevoerd via Fynce, het digitale platform van OneLane voor het beheren van het netwerk van ZZP financieel professionals.

2. Waarom en hoe verwerken wij uw persoonsgegevens?

OneLane verwerkt uw persoonsgegevens voor de volgende doeleinden:

• Het aanmaken en bijhouden van uw profiel op het platform, inclusief uw professionele gegevens en beschikbaarheid.
• Het beoordelen en goedkeuren van door u zelf geregistreerde accounts.
• Het koppelen van uw profiel en competenties aan geschikte opdrachten.
• Het automatisch inlezen van uw cv ter voorbereiding van uw profiel.
• Het genereren van een kandidaatpresentatie ten behoeve van voordracht aan een opdrachtgever, na overleg met u.
• U informeren over nieuwe of relevante opdrachten via pushmeldingen, uitsluitend met uw toestemming. De applicatie blijft volledig bruikbaar zonder pushmeldingen; uitsluitend de opdrachtsignalering werkt dan niet.
• Het administreren van opdrachten, inclusief planning, urenregistratie, facturatie en contractafhandeling.
• Het verzamelen van evaluaties bij het aflopen van een opdracht, ingevuld door zowel u als de opdrachtgever.
• Het inplannen van kennismakingsgesprekken tussen u en een opdrachtgever.
• Het naleven van de Nederlandse fiscale wetgeving, inclusief de bewaarverplichtingen van de Belastingdienst.
• Het waarborgen van de beschikbaarheid, vertrouwelijkheid en integriteit van het platform.

Hoe wordt uw profiel aangemaakt? Uw account wordt aangemaakt door een medewerker van OneLane, of u kunt zelf een account aanvragen via de app. In dat geval wordt uw aanvraag eerst beoordeeld door OneLane. Na goedkeuring wordt uw profiel op dezelfde wijze ingericht: een medewerker kan uw cv uploaden, waarna het systeem via AI de profielvelden automatisch invult. U controleert deze gegevens bij eerste inlog. U kunt uw profiel te allen tijde aanpassen.

3. Op welke rechtsgrond(en) verwerken wij uw persoonsgegevens?

(a) Uitvoering van een overeenkomst, artikel 6(1)(b) AVG

De verwerking van NAW-gegevens, bedrijfsregistratiegegevens, professionele gegevens en opdrachttoewijzingsgegevens is noodzakelijk voor de uitvoering van de contractuele relatie tussen u en OneLane.

Dit omvat hoofdzakelijk het automatisch invullen van uw profielvelden via AI op basis van uw cv. U heeft te allen tijde de mogelijkheid om deze gegevens te controleren en aan te passen. Deze verwerking leidt derhalve niet tot geautomatiseerde besluitvorming in de zin van artikel 22 AVG.

(b) Naleving van een wettelijke verplichting, artikel 6(1)(c) AVG

De verwerking van financiële en fiscale gegevens (KvK-nummer, btw-nummer, IBAN, factuurgegevens) is noodzakelijk om te voldoen aan de bewaarplicht van zeven jaar van de Belastingdienst (artikel 52 AWR).

(c) Gerechtvaardigd belang, artikel 6(1)(f) AVG

De verwerking van technische gegevens en gebruiksgegevens (IP-adressen, sessielogs, toegangslogs) is gebaseerd op het gerechtvaardigde belang van OneLane bij het handhaven van de beschikbaarheid, vertrouwelijkheid en integriteit van het platform. De verwerking van evaluaties bij het aflopen van een opdracht is eveneens gebaseerd op het gerechtvaardigde belang van OneLane bij het waarborgen van de kwaliteit van het netwerk en het bieden van transparantie aan opdrachtgevers en ZZP-professionals. U kunt op grond van artikel 21 AVG bezwaar maken tegen deze verwerking.

(d) Toestemming, artikel 6(1)(a) AVG

Voor het ophalen en opslaan van uw LinkedIn-profielfoto, het verzenden van pushmeldingen en het bewaren van uw cv na de standaard bewaartermijn vragen wij om uw uitdrukkelijke en geïnformeerde toestemming. U kunt uw toestemming te allen tijde intrekken via de instellingen in de applicatie. Intrekking laat de rechtmatigheid van eerdere verwerking onverlet.

4. Welke (persoons)gegevens verwerken wij?

(a) Voor ZZP-professionals die zijn geregistreerd op het platform

• NAW-gegevens: volledige naam, e-mailadres, telefoonnummer, geboortedatum, woonplaats, profielfoto.
• Bedrijfsregistratiegegevens: KvK-nummer, btw-nummer, IBAN, handelsnaam.
• Professionele gegevens: cv, werkervaring, competenties, rollen (bijv. Financial Controller, CFO), vaardigheden, uurtarief en reiskosten, beschikbaarheidsstatus en -datum, LinkedIn-profiel.
• Opdrachttoewijzingsgegevens: aanmeldingen op opdrachten, motivaties, voorgestelde tarieven, opdrachtgeschiedenis, urenregistraties, evaluaties.
• Toestemmingsregistraties: tijdstempel, versie en reikwijdte van elke gegeven toestemming.
• Accountstatus: goedkeuring in afwachting, goedgekeurd of afgewezen, inclusief een eventuele motivatie bij afwijzing.

(b) Voor alle platformgebruikers, inclusief opdrachtgevers en personen werkend voor OneLane

• Technische gegevens: IP-adres, browsertype, besturingssysteem, apparaattype, sessietijdstempels.
• Authenticatiegegevens: gebruikersnaam, gehasht wachtwoord, sessielogs, toegangslogs, inloggebeurtenissen.

(c) Voor ZZP-professionals die zich aanmelden voor pushmeldingen

Apparaat-pushmeldingentoken en meldingsvoorkeuren.

5. Hoe lang bewaren wij uw persoonsgegevens?

OneLane bewaart uw persoonsgegevens niet langer dan noodzakelijk voor het doel waarvoor zij zijn verzameld, of zolang de wet dat vereist:

• NAW-gegevens en professionele gegevens: gedurende de looptijd van uw contractuele relatie met OneLane; geanonimiseerd, gepseudonimiseerd of verwijderd binnen 30 dagen na beëindiging van die relatie.
• Professionele gegevens van een ZZP-professional die 12 maanden inactief is: verwijderd binnen 4 weken na de 12-maandsgrens, tenzij u ervoor kiest uw toestemming te verlengen.
• Opdrachtgerelateerde gegevens (exclusief contractgegevens en urenregistraties): zolang uw profiel actief is; geanonimiseerd of gepseudonimiseerd binnen 30 dagen na verwijdering van uw account.
• Contractgegevens en urenregistraties: 7 jaar als onderdeel van de financiële administratie (conform de wettelijke bewaarplicht).
• Opdrachttoewijzings- en contractgegevens, bedrijfsregistratiegegevens: 7 jaar (conform de wettelijke bewaarplicht).
• Getekende drieluik-overeenkomsten: 7 jaar na afronding van de opdracht (conform de wettelijke bewaarplicht).
• Factuur- en financiële gegevens: 7 jaar (conform de wettelijke bewaarplicht).
• Pushmeldingen-token: totdat u uw toestemming intrekt; verwijderd binnen 30 dagen na intrekking.
• Toestemmingsregistraties en accountstatus: binnen 30 dagen na verwijdering van uw account.
• Uitnodigingen die niet worden geaccepteerd: naam en e-mailadres verwijderd na 30 dagen zonder reactie.
• Beveiligings- en toegangslogs en overige technische gegevens: 30 dagen.

Wat betekent anonimiseren/pseudonimiseren?

Anonimisering en pseudonimisering zijn methoden om persoonsgegevens zo te bewerken dat een individu niet meer (anonimisering: definitief) of slechts via aanvullende informatie (pseudonimisering: omkeerbaar onder voorwaarden) kan worden geïdentificeerd. Activiteitgegevens zoals opdrachtgeschiedenis en evaluaties kunnen na anonimisering bewaard blijven voor statistische of kwaliteitsdoeleinden, omdat zij niet langer herleidbaar zijn tot de betreffende persoon.

6. Hoe beschermen en beveiligen wij uw persoonsgegevens?

OneLane heeft passende technische en organisatorische maatregelen getroffen overeenkomstig artikel 32 AVG. Technische maatregelen omvatten versleuteling tijdens verzending (TLS), versleuteling in rust, rolgebaseerde toegangscontroles, MFA voor alle beheerdersaccounts en SSO via Microsoft Entra ID waar van toepassing. Organisatorische maatregelen omvatten toegangsbeperking op need-to-know-basis, AVG-training voor alle medewerkers met gegevenstoegang en verwerkersovereenkomsten met alle derde verwerkers.

7. Wie heeft toegang tot uw persoonsgegevens en aan wie worden deze verstrekt?

Toegang wordt uitsluitend verleend aan personen werkend voor OneLane die dit nodig hebben: accountmanagers (toegang tot profielen, cv's, beschikbaarheid en opdrachttoewijzingsgegevens, inclusief het genereren van kandidaatpresentaties) en IT- en platformbeheerders (toegang tot technische logs en beveiligingslogs).

De volgende persoonsgegevens kunnen ook verwerkt worden door derden:

• Opdrachtgevers (klanten van OneLane): bij voordracht ontvangt de betreffende opdrachtgever een kandidaatpresentatie met uw profielfoto, samenvatting, werkervaring, vaardigheden, motivatie en evaluatiescores; dit geschiedt uitsluitend bij een concrete matchingprocedure op initiatief van een accountmanager en na overleg met u.
• Microsoft Dynamics: klantgegevens, contactpersonen, factuur- en financiële gegevens worden verwerkt ten behoeve van CRM, salesbeheer, forecasting en boekhouding.
• Microsoft To Do: voor het aanmaken van contactmomenten en opvolgingstaken.
• Microsoft Azure OpenAI (EU Data Zone): verwerkt cv-gegevens via AI voor het automatisch invullen van profielvelden.
• ValidSign B.V. (Nederland): ontvangt uw naam, e-mailadres, handelsnaam, vestigingsplaats en de gegevens van de opdracht om de drieluik-overeenkomst digitaal ter ondertekening aan te bieden, en bewaart het getekende document. ValidSign verwerkt deze gegevens binnen de Europese Unie op grond van een verwerkersovereenkomst.
• Cloudhostingprovider (Azure West Europa): bewaart alle platformgegevens namens ons.
• Azure Application Insights: ontvangt prestatiegegevens en gebruiksstatistieken met geminimaliseerde persoonsgegevens.
• Apple Inc. (Apple Push Notification service): ontvangt het pushtoken en de meldingstekst van uw apparaat om iOS-pushmeldingen rechtstreeks aan uw telefoon af te leveren. De meldingstekst bevat alleen wat op uw scherm verschijnt (bijv. “Nieuwe vacature: Senior Developer”); profielinhoud of wachtwoorden gaan niet mee.
• Google LLC (Firebase Cloud Messaging): ontvangt het pushtoken en de meldingstekst om Android-pushmeldingen rechtstreeks aan uw telefoon af te leveren. Dezelfde reikwijdte als bij Apple.
• Belastingdienst: ontvangt financiële gegevens uitsluitend wanneer wettelijk verplicht.

Wij verkopen uw persoonsgegevens niet aan derden. De primaire opslag en verwerking van uw gegevens vindt plaats binnen de Europese Economische Ruimte (Azure West-Europa). Pushmeldingen worden afgeleverd via Apple (APNs) en Google (FCM); deze diensten verwerken het pushtoken en de meldingstekst op infrastructuur die mede in de Verenigde Staten staat. Voor deze doorgiftes geldt het EU-VS Data Privacy Framework als waarborg, conform hoofdstuk V van de AVG. Mocht een andere sub-verwerker in de toekomst gegevens verwerken buiten de EER, dan zal OneLane voorafgaand passende waarborgen treffen en deze verklaring dienovereenkomstig aanpassen.

8. Wat zijn uw rechten en hoe kunt u deze uitoefenen?

U heeft de volgende rechten op grond van hoofdstuk III (artikelen 15 tot en met 22) van de AVG:

• Recht op inzage (art. 15): u kunt een kopie opvragen van de persoonsgegevens die wij van u verwerken.
• Recht op rectificatie (art. 16): u kunt onjuiste of onvolledige persoonsgegevens laten corrigeren; u kunt uw eigen profiel ook rechtstreeks in de applicatie bewerken.
• Recht op verwijdering (art. 17): u kunt ons verzoeken uw persoonsgegevens te verwijderen wanneer deze niet langer noodzakelijk zijn, tenzij een wettelijke regeling dat verbiedt. U kunt uw account ook zelf verwijderen; zie Account en gegevens verwijderen.
• Recht op beperking van de verwerking (art. 18).
• Recht op kennisgeving (art. 19): u kunt bij ons opvragen aan welke ontvangers uw persoonsgegevens zijn verstrekt en of een rectificatie, verwijdering of beperking van de verwerking aan hen is doorgegeven.
• Recht op gegevensoverdraagbaarheid (art. 20): u kunt uw persoonsgegevens opvragen in een gestructureerd, machineleesbaar formaat (JSON of CSV).
• Recht van bezwaar (art. 21): u kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang, waaronder de verwerking van evaluaties.
• Recht op menselijke tussenkomst bij geautomatiseerde verwerking (art. 22): u heeft te allen tijde het recht op menselijke controle en correctie van het resultaat van de AI cv-verwerking. U kunt uw door AI ingevulde profiel na eerste inlog controleren en aanpassen.
• Recht om toestemming in te trekken: via Instellingen in de applicatie; intrekking laat de rechtmatigheid van eerdere verwerking onverlet.

Om een van deze rechten uit te oefenen, kunt u contact met ons opnemen via privacyofficer@onelane.nl. Wij reageren binnen 30 kalenderdagen. In complexe gevallen kan deze termijn met nog eens 60 dagen worden verlengd, waarvan wij u tijdig op de hoogte stellen. Wij kunnen u vragen uw identiteit te verifiëren voordat wij uw verzoek verwerken.

Indien u van mening bent dat OneLane uw persoonsgegevens niet op de juiste wijze verwerkt, wordt verzocht om contact op te nemen met de privacy officer. Mocht dit niet voldoende blijken, kunt u een klacht indienen bij de Autoriteit Persoonsgegevens (zie sectie 10 voor contactgegevens).

9. Privacy officer

OneLane heeft een privacy officer aangesteld. U kunt de privacy officer, de heer Steven Akse, bereiken via privacyofficer@onelane.nl.

10. Contactgegevens

De verwerkingsverantwoordelijke
OneLane Holding B.V.
T.a.v.: Privacycontact, Steven Akse
Koningin Wilhelminaplein 30, 1062 KR Amsterdam, Nederland
E-mail: privacyofficer@onelane.nl
Telefoon: 06-52094281

De toezichthoudende autoriteit
Autoriteit Persoonsgegevens (AP)
Website: www.autoriteitpersoonsgegevens.nl
E-mail: info@autoriteitpersoonsgegevens.nl
Telefoon: 088 - 1805 250
Adres: Hoge Nieuwstraat 8, 2514 EL Den Haag, Nederland

11. Tracking en analytics

De statische pagina waarop deze privacyverklaring wordt gepubliceerd maakt geen gebruik van cookies of vergelijkbare trackingtechnologieën. De applicatie Fynce maakt evenmin gebruik van cookies of trackingtechnologieën voor analyse- of marketingdoeleinden. De applicatie maakt uitsluitend gebruik van technische opslag op uw apparaat die noodzakelijk is voor het functioneren van de app, zoals het bewaren van uw inlogsessie en uw voorkeursinstellingen. Voor prestatiemonitoring maakt de applicatie gebruik van Azure Application Insights, dat uitsluitend technische gegevens ontvangt (zoals foutmeldingen, sessieduur en apparaatinformatie).

12. Waar vindt u meer gedetailleerde informatie?

Voor meer informatie kunt u contact opnemen met onze privacy officer, de heer Steven Akse, te bereiken via privacyofficer@onelane.nl.

13. Wat te doen bij een datalek

Indien u vermoedt dat er sprake is van een datalek, bijvoorbeeld ongeoorloofde toegang tot, verlies van of onbedoelde wijziging van persoonsgegevens, verzoeken wij u dit zo snel mogelijk te melden bij onze privacy officer via privacyofficer@onelane.nl of telefonisch via 06-52094281 (ook buiten kantooruren). Hoe sneller u meldt, hoe sneller wij kunnen handelen om mogelijke schade te beperken.

OneLane beoordeelt elke melding en treft waar nodig direct maatregelen. Wanneer het nodig is meldt OneLane het datalek binnen 72 uur aan de Autoriteit Persoonsgegevens, conform artikel 33 AVG. Indien het datalek waarschijnlijk een hoog risico vormt voor uw rechten en vrijheden, informeren wij u hier zo spoedig mogelijk over, conform artikel 34 AVG.