Privacyverklaring · Brightsafe

1. Over deze privacyverklaring

Brightsafe is een online platform voor veiligheidsmanagement (het "Platform"), bereikbaar via https://go.brightsafe.nl (beheeromgeving) en ons scan-domein voor QR-codes, qr.brightsafe.nl. Medewerkers van onze Klanten kunnen het Platform ook gebruiken via de Brightsafe-app voor Medewerkers: een app uit de App Store en Google Play die verbinding maakt met go.brightsafe.nl (zie 3.6). Onze Klanten zijn werkgevers: bedrijven die het Platform gebruiken voor onder meer het melden van incidenten, inspecties, toolboxinstructies, opleidings- en certificaatregistratie, RI&E, de Kennismonitor, LMRA, materieel- en keuringsbeheer, actiemanagement en alarmering bij een noodsituatie (de module Alarmering).

Deze privacyverklaring is geschreven voor twee groepen lezers:

Deel 1 is voor bezoekers van onze website en voor (contactpersonen van) Klanten en geïnteresseerde bedrijven (prospects). Voor die verwerkingen zijn wij zelf verwerkingsverantwoordelijke.
Deel 2 is voor u als uw werkgever Brightsafe gebruikt en uw gegevens in het Platform staan. Voor die gegevens is uw werkgever verwerkingsverantwoordelijke en zijn wij verwerker. Lees in dat geval vooral hoofdstuk 3: "Gebruikt uw werkgever Brightsafe?" Gebruikt u de Brightsafe-app, lees dan ook 3.6.

Begrippen in dit document

Brightsafe: Brightsafe B.V., handelend onder de naam Brightsafe, gevestigd aan de Oosterweezenstraat 6 C, 1823 CN Alkmaar, ingeschreven bij de Kamer van Koophandel onder nummer 93515103. Waar in dit document "wij" of "ons" staat, wordt Brightsafe bedoeld.
Platform: de online dienst Brightsafe op https://go.brightsafe.nl (beheeromgeving), het scan-domein voor de publieke QR-flows (hoofdstuk 1) en de Brightsafe-app, inclusief alle modules.
Brightsafe-app: de Brightsafe-app voor Medewerkers, in de App Store en Google Play te vinden onder de naam "Brightsafe" (app-ID nl.brightsafe.medewerkers). De app is een toegang tot het Platform: zij haalt gegevens op bij en verstuurt gegevens naar go.brightsafe.nl (zie 3.6).
Klant: de werkgever (het bedrijf) dat met Brightsafe een overeenkomst heeft gesloten voor het gebruik van het Platform.
Medewerker: een natuurlijke persoon die door of namens de Klant in het Platform is geregistreerd, zoals een werknemer of ingehuurde kracht van de Klant. Waar dit document over andere personen gaat, bijvoorbeeld iemand die alleen in een melding wordt genoemd, spreken wij van "andere personen die in een melding of dossier worden genoemd".
Verwerkersovereenkomst: de verwerkersovereenkomst tussen Brightsafe en de Klant, die als bijlage hoort bij onze algemene voorwaarden. De subverwerkerslijst en de bijlage beveiligingsmaatregelen horen als bijlagen bij de Verwerkersovereenkomst.

2. Deel 1: Verwerkingen waarvoor Brightsafe zelf verantwoordelijk is

Voor de verwerkingen in dit hoofdstuk bepaalt Brightsafe zelf het doel en de middelen. Brightsafe is daarvoor verwerkingsverantwoordelijke in de zin van de AVG.

2.1 Bezoek aan het Platform (go.brightsafe.nl en het scan-domein)


Doel	Het technisch tonen, goed laten werken en beveiligen van het Platform op go.brightsafe.nl en het scan-domein, en het beveiligen van onze eigen infrastructuur (zoals technische fout- en beveiligingslogging).
Gegevens	Technische gegevens die uw browser meestuurt bij een bezoek, en cookies (zie hoofdstuk 6). In de publieke flows van het Platform (zoals anoniem melden en LMRA via QR-code) koppelt het Platform geen IP-adres aan uw melding of LMRA en bewaart het uw IP-adres niet in het dossier. Uw IP-adres wordt wel kortstondig verwerkt in de technische serverlogging en als sleutel om misbruik en overbelasting tegen te gaan; die gegevens worden niet aan uw melding gekoppeld en roteren automatisch uit.
Grondslag	Gerechtvaardigd belang (artikel 6 lid 1 onder f AVG): een werkende en veilige website en infrastructuur kunnen aanbieden.
Bewaartermijn	Technische logbestanden roteren automatisch uit: de toegangslog van de webserver (met IP-adres en opgevraagd webadres) na circa veertien dagen, het applicatielog met fouten en waarschuwingen na circa negen weken. Het activiteitenlog in het Platform (de audittrail) blijft staan zolang de overeenkomst loopt met de organisatie die Brightsafe gebruikt; er draait geen automatische verwijdering. Logregels die ouder zijn dan 24 maanden verdwijnen wanneer wij op verzoek van een organisatie haar inhoud volgens een bewaartermijn opschonen, van welke organisatie ook, en na het einde van de overeenkomst verwijderen wij de logregels van die organisatie (zie 3.5).
Ontvangers	TransIP B.V. (hosting, datacenters in Nederland) en Sentry (foutmonitoring, EU-regio). Cloudflare, Inc. verzorgt de DNS (het "adresboek" van de domeinnamen) en staat sinds 17 augustus 2026 als beschermende tussenlaag (proxy) vóór het beheerdomein go.brightsafe.nl: het verkeer naar de beheerpanelen, de registratie en de Brightsafe-app passeert Cloudflare, dat er niets van bewaart. De publieke QR-flows op het scan-domein (waaronder anoniem melden via een QR-code) lopen niet via Cloudflare; zie hoofdstuk 4.

Gebruiksgegevens binnen de omgeving van uw werkgever verwerken wij als verwerker; daarvoor geldt Deel 2 (hoofdstuk 3).

2.2 Contact en offerteaanvragen


Doel	Het beantwoorden van uw vraag, het opstellen en opvolgen van offertes en het bijhouden van onze relatie- en leadadministratie.
Gegevens	De gegevens die u zelf verstrekt, zoals naam, zakelijk e-mailadres, telefoonnummer, bedrijfsnaam en de inhoud van uw bericht.
Grondslag	Ons gerechtvaardigd belang (artikel 6 lid 1 onder f AVG) bij het onderhouden van zakelijke contacten, het opvolgen van offerteaanvragen en het uitvoeren van de overeenkomst met uw werkgever of opdrachtgever. Handelt u als eenmanszaak en sluit u zelf de overeenkomst, dan is de grondslag de (voorbereiding op de) uitvoering van die overeenkomst (artikel 6 lid 1 onder b AVG).
Bewaartermijn	Wij bewaren deze gegevens niet langer dan nodig; wij beoordelen dat periodiek en verwijderen in beginsel twee jaar na het laatste contact. Deze opschoning is handwerk: er draait geen automatische verwijdering.
Ontvangers	TransIP B.V. (hosting) en Brevo (verzending van e-mail); zie hoofdstuk 4.

2.2a Prospects en leadverwerving


Doel	Het benaderen van bedrijven waarvan wij denken dat het Platform voor hen nuttig is, en het bijhouden van onze leadadministratie.
Gegevens	Naam, functie, zakelijk e-mailadres en telefoonnummer van een contactpersoon, en bedrijfsgegevens zoals bedrijfsnaam, KvK-nummer, website en algemene contactgegevens.
Herkomst	Deze gegevens komen niet altijd van uzelf. Wij halen ze uit openbare bronnen en zakelijke contacten: de bedrijfswebsite, het openbaar handelsregister van de Kamer van Koophandel, LinkedIn, een netwerkcontact of een beursbezoek.
Grondslag	Ons gerechtvaardigd belang (artikel 6 lid 1 onder f AVG) bij het werven van zakelijke klanten.
Bewaartermijn	Wij bewaren deze gegevens niet langer dan nodig; wij beoordelen dat periodiek en verwijderen in beginsel twee jaar na het laatste contact, of eerder op uw verzoek.
Ontvangers	TransIP B.V. (hosting) en Brevo (verzending van e-mail); zie hoofdstuk 4.

Wij informeren u hierover uiterlijk bij het eerste contact en vermelden daarbij waar wij uw gegevens vandaan hebben (artikel 14 AVG). U kunt altijd bezwaar maken en zich afmelden via info@brightsafe.nl; wij verwijderen u dan uit onze leadadministratie.

2.3 Klantadministratie en facturatie


Doel	Het uitvoeren van de overeenkomst met de Klant: accountbeheer, facturatie en de financiële administratie.
Gegevens	Bedrijfs- en contactgegevens van de Klant, factuurmetadata en de gebruikstellers die de factuur bepalen: per Klant per maand het aantal actieve Medewerkers, het aantal AI-aanroepen en het aantal verzonden WhatsApp-berichten. Dat zijn uitsluitend aantallen; er staat geen inhoud in en geen naam van een individuele Medewerker. Wij slaan geen kaart- of rekeninggegevens op; bij betalingen via iDEAL of SEPA-incasso bewaren wij alleen de referenties (waaronder de mandaatreferentie) van onze betaaldienstverlener Mollie.
Grondslag	Ons gerechtvaardigd belang (artikel 6 lid 1 onder f AVG) bij het onderhouden van zakelijke contacten en het uitvoeren van de overeenkomst met uw werkgever of opdrachtgever, en voor de financiële administratie een wettelijke verplichting (artikel 6 lid 1 onder c AVG). Handelt u als eenmanszaak en sluit u zelf de overeenkomst, dan is de grondslag de (voorbereiding op de) uitvoering van die overeenkomst (artikel 6 lid 1 onder b AVG).
Bewaartermijn	Facturatie- en administratiegegevens: zeven jaar (fiscale bewaarplicht).
Ontvangers	TransIP B.V. (hosting), Brevo (verzending van e-mail) en Mollie B.V. (betalingen via iDEAL en SEPA-incasso; Mollie ontvangt de bedrijfsnaam, het contact-e-mailadres en het bedrag); zie hoofdstuk 4.

2.3a Proefperiode


Doel	Het aanbieden van een gratis proefperiode van veertien dagen zonder betaalgegevens, het handhaven van de regel dat elk bedrijf één proefperiode krijgt, en telefonisch contact tijdens de proefperiode: wij bellen u om u op weg te helpen en om u een voorstel voor een abonnement te doen.
Gegevens	De gegevens die u bij de registratie invult: uw naam, zakelijk e-mailadres en telefoonnummer, bedrijfsnaam en KvK-nummer (het KvK-nummer is niet verplicht). Het telefoonnummer is een verplicht veld; het formulier zegt er eerlijk bij waarvoor het is: wij bellen u tijdens de proefperiode om u op weg te helpen. Voor de regel "één proef per bedrijf" vergelijken wij het KvK-nummer en het domein van uw e-mailadres met eerdere proefperiodes. Vraagt u een jaarcontract op factuur aan, dan controleren wij de inschrijving van uw bedrijf in het openbare handelsregister (naam, adres, actief).
Grondslag	De (voorbereiding op de) uitvoering van de overeenkomst met uw werkgever (artikel 6 lid 1 onder b AVG als u zelf de overeenkomst sluit, anders ons gerechtvaardigd belang, artikel 6 lid 1 onder f AVG) en ons gerechtvaardigd belang bij het voorkomen van misbruik van de gratis proef. Ook voor het bellen is de grondslag ons gerechtvaardigd belang bij het opvolgen van de proefaanvraag die u zelf heeft gedaan (en bij een eenmanszaak de overeenkomst zelf). Wilt u niet of niet meer gebeld worden, dan zegt u dat in het gesprek of mailt u naar info@brightsafe.nl; wij bellen u dan niet meer.
Bewaartermijn	Zet uw bedrijf de proef niet om in een abonnement, dan blijft de proefomgeving 90 dagen alleen-lezen bewaard en verwijderen wij die daarna, met een waarschuwing per e-mail op dag 60 en dag 83. Het KvK-nummer en het e-maildomein van een afgelopen proef bewaren wij in beginsel twee jaar, net als onze prospectgegevens (2.2a), om de regel "één proef per bedrijf" te kunnen toepassen. Uw contactgegevens, waaronder het telefoonnummer, bewaren wij als onderdeel van onze relatieadministratie: in beginsel twee jaar na het laatste contact, of eerder op uw verzoek (zie 2.2 en 2.2a).
Opslag van het telefoonnummer	Het telefoonnummer slaan wij uitsluitend versleuteld op bij de contactpersoon in onze relatieadministratie, net als het e-mailadres daar. Wij gebruiken het alleen om u te bellen: het komt niet in logbestanden, niet in meetcijfers en niet in automatische berichten terecht.
Ontvangers	TransIP B.V. (hosting) en Brevo (verzending van e-mail; Brevo ontvangt uw naam en e-mailadres, niet uw telefoonnummer); zie hoofdstuk 4.

2.4 Supporttickets


Doel	Het afhandelen van supportvragen en storingsmeldingen via ons ticketsysteem.
Gegevens	Naam en e-mailadres van de indiener en de inhoud van het ticket. Let op: zet in een ticket geen persoonsgegevens van Medewerkers die niet nodig zijn voor de vraag.
Grondslag	Ons gerechtvaardigd belang (artikel 6 lid 1 onder f AVG) bij goede dienstverlening en het uitvoeren van de overeenkomst met uw werkgever of opdrachtgever. Handelt u als eenmanszaak en sluit u zelf de overeenkomst, dan is de grondslag de uitvoering van die overeenkomst (artikel 6 lid 1 onder b AVG).
Bewaartermijn	Wij bewaren tickets niet langer dan nodig; wij beoordelen dat periodiek en verwijderen in beginsel twee jaar na sluiting van het ticket. Deze opschoning is handwerk: er draait geen automatische verwijdering.
Ontvangers	TransIP B.V. (hosting) en Brevo (verzending van e-mail); zie hoofdstuk 4.

Bevat een ticket persoonsgegevens van Medewerkers uit de omgeving van uw werkgever, of krijgen wij bij het afhandelen van een ticket toegang tot die omgeving, dan handelen wij op dat punt als verwerker; daarvoor geldt Deel 2 (hoofdstuk 3) en de Verwerkersovereenkomst (bijlage C.10).

Berichten uit de Brightsafe-app (vanaf app-versie 1.4.0). Medewerkers kunnen in de app onder Profiel > Hulp en contact een probleem aan Brightsafe melden. Zo'n bericht komt bij ons binnen als ticket, met het onderwerp dat u kiest, uw tekst (hoogstens 2000 tekens), wie u bent (uw account, en daarmee uw naam en e-mailadres, zodat wij kunnen antwoorden), de versie van de app, of het om iOS of Android gaat en het type toestel (zoals "iPhone15,2" of "Pixel 8"). Dat toesteltype stuurt de app alleen met zo'n bericht mee, nergens anders. Bijlagen kunnen niet. Uw werkgever ziet dit bericht niet: het staat niet in zijn ticketoverzicht, niet in zijn logboek en niet in zijn gegevensexport, en hij krijgt er geen bericht over. Voor deze berichten is Brightsafe verwerkingsverantwoordelijke; de grondslag is ons gerechtvaardigd belang (artikel 6 lid 1 onder f AVG) bij een goed werkende app en het helpen van wie haar gebruikt. Bewaartermijn en ontvangers zijn dezelfde als in de tabel hierboven; wij krijgen per e-mail een seintje met de naam van de organisatie en het onderwerp, niet met uw tekst. Zet in een bericht geen gegevens die niet nodig zijn voor uw vraag, zoals gegevens van collega's. Moeten wij voor uw vraag in de omgeving van uw werkgever kijken, dan geldt voor dat deel de alinea hierboven.

2.5 Transactionele e-mail via Brevo


Doel	Het verzenden van e-mails aan (contactpersonen van) Klanten en prospects, zoals accountmails, facturen en dienstberichten. Wij versturen geen commerciële nieuwsbrieven; een zakelijk kennismakings- of opvolgbericht aan een prospect (zie 2.2a) versturen wij wel via dit kanaal en bevat altijd een afmeldmogelijkheid.
Gegevens	Naam en e-mailadres van de geadresseerde.
Grondslag	Ons gerechtvaardigd belang (artikel 6 lid 1 onder f AVG) bij betrouwbare aflevering van dienstberichten en bij het uitvoeren van de overeenkomst met uw werkgever of opdrachtgever. Handelt u als eenmanszaak en sluit u zelf de overeenkomst, dan is de grondslag de uitvoering van die overeenkomst (artikel 6 lid 1 onder b AVG).
Bewaartermijn	Wij bewaren verzendgegevens niet langer dan nodig voor aflevercontrole en beoordelen dat periodiek; ons uitgangspunt is maximaal twaalf maanden.
Ontvangers	Brevo (Sendinblue SAS), gevestigd in Frankrijk (EU); zie hoofdstuk 4.

E-mails die het Platform namens uw werkgever aan Medewerkers verstuurt, zoals uitnodigingen voor de Kennismonitor en notificaties, verzenden wij als verwerker in opdracht van uw werkgever. Daarop zijn Deel 2 (hoofdstuk 3) en de Verwerkersovereenkomst van toepassing; Brevo is daarvoor subverwerker (zie hoofdstuk 4).

3. Deel 2: Gebruikt uw werkgever Brightsafe?

3.1 Uw werkgever is verantwoordelijk, wij zijn verwerker

Gebruikt de organisatie waarvoor of waarbij u werkt Brightsafe, dan staan uw gegevens in het Platform omdat die organisatie dat heeft ingericht. Voor al die gegevens, bijvoorbeeld uw naam, uw certificaten of een melding waarin u wordt genoemd, is die organisatie de verwerkingsverantwoordelijke en is Brightsafe de verwerker. Wij verwerken die gegevens uitsluitend in haar opdracht, op basis van de Verwerkersovereenkomst, en gebruiken ze nooit voor eigen doeleinden.

Waar in dit deel "uw werkgever" staat, bedoelen wij de Klant: de organisatie die Brightsafe gebruikt. Dat hoeft niet uw eigen werkgever te zijn: het kan ook uw opdrachtgever zijn, of de houder van de locatie waar u werkte of op bezoek was. Dit deel geldt namelijk ook voor ingeleende krachten, bezoekers, medewerkers van derden en andere personen die alleen in een melding of dossier worden genoemd zonder zelf in het Platform geregistreerd te zijn.

Dat betekent ook dat u uw AVG-rechten (zoals inzage, correctie of verwijdering, zie hoofdstuk 7) voor deze gegevens bij die organisatie uitoefent. Neemt u rechtstreeks contact met ons op, dan verwijzen wij u daarheen of leggen wij uw verzoek aan die organisatie voor (zo gaat het bij een verzoek over de Brightsafe-app, 3.6), en helpen wij haar waar nodig om aan uw verzoek te voldoen. Weet u niet welke organisatie het betreft, bijvoorbeeld omdat u via een QR-code op een locatie heeft gemeld? Zie hoofdstuk 7; wij helpen u dan de juiste organisatie te vinden.

3.2 Welke gegevens verwerken wij voor uw werkgever?

Afhankelijk van de modules die uw werkgever heeft afgenomen, kan het gaan om:

Medewerkergegevens: naam, e-mailadres, telefoonnummer (e-mailadres en telefoonnummer versleuteld opgeslagen), team en functie of rol, en een profielfoto als u die zelf in de Brightsafe-app toevoegt. Die foto is vrijwillig, alleen zichtbaar voor uzelf en de beheerders van uw werkgever, en versleuteld opgeslagen (3.6).
Opleidings- en certificaatgegevens, inclusief bewijsdocumenten (versleuteld opgeslagen).
Meldingen en incidenten: vrije tekst, foto's en de personen die de melder of behandelaar invult. Een melding kan letselinformatie bevatten en daarmee gezondheidsgegevens raken; dat zijn bijzondere persoonsgegevens waarvoor uw werkgever als verantwoordelijke de grondslag moet hebben.
LMRA-invullingen (via een QR-code met een naam als u die zelf invult, anders anoniem; via de Brightsafe-app altijd op uw naam, met een eventuele handtekening, 3.6), toolbox-aftekeningen (naam en tijdstip) en inspecties.
Noodinformatie die uw werkgever voor de Brightsafe-app invult, zoals de verzamelplaats en de bedrijfshulpverleners (BHV'ers) met hun naam en telefoonnummer (telefoonnummers versleuteld opgeslagen; 3.6).
Materieel- en keuringsgegevens: de Medewerker die verantwoordelijk is voor een middel, de melder van een defect (soms als vrij ingetypte naam), wie een middel heeft geblokkeerd of vrijgegeven, meterstanden en keuringsdocumenten (versleuteld opgeslagen). Heeft uw werkgever een koppeling ingesteld, dan stuurt het Platform op zijn instructie gebeurtenissen uit deze module door naar een door hem opgegeven adres.
Alarmering, als uw werkgever deze module gebruikt: per alarm of oefening uw naam, team en taal; of het bericht bij u is afgeleverd en of u het heeft geopend; uw antwoord ("ik ben veilig", "ik heb hulp nodig" of "ik ben niet op locatie") met het tijdstip; de korte notitie die u zelf kunt toevoegen als u om hulp vraagt; en of een bedrijfshulpverlener u heeft afgevinkt. Uw naam en uw notitie staan versleuteld opgeslagen. Er is geen GPS en geen locatie- of aanwezigheidsregistratie: het Platform weet niet waar u bent, alleen wat u zelf antwoordt. "Ik heb hulp nodig" en uw notitie kunnen iets zeggen over letsel en daarmee gezondheidsgegevens raken; uw werkgever verwerkt die in een noodsituatie om uw vitale belang te beschermen (artikel 9 lid 2 onder c AVG). De naam van degene die het alarm slaat, ziet u niet. Hoe lang deze gegevens blijven staan, staat in 3.5; hoe een alarm u in de app bereikt, in 3.6 ("Pushberichten").
Account- en sessiegegevens: inlognaam, e-mailadres, instellingen voor tweefactorauthenticatie en technische sessiegegevens (IP-adres en browsertype van de ingelogde gebruiker).
Auditlog van handelingen in het Platform (gebruiker, handeling, tijdstip; inclusief in- en uitloggen en mislukte inlogpogingen).
Gegevens van de Brightsafe-app, als u die gebruikt: zie 3.6. Daaronder valt, als u vanaf app-versie 1.5.0 pushberichten ontvangt, het pushadres van uw toestel met de toestelgegevens die daarbij horen (3.6, "Pushberichten").

3.3 Bijzonderheden waar u op mag rekenen

Anoniem melden, zonder login. Melden en het uitvoeren van een LMRA kan via een QR-code, zonder app en zonder account. U kunt volledig anoniem melden. Vult u de meldervelden niet in, dan legt het Platform geen identificerende gegevens over u vast en voegt Brightsafe die ook nooit toe. Let op: zet u zelf uw naam in de omschrijving, of registreert de behandelaar betrokken personen, dan kan een melding alsnog tot personen herleidbaar zijn. Uw IP-adres koppelen wij niet aan uw melding en bewaren wij niet in het dossier; het wordt wel kortstondig verwerkt in de technische serverlogging en als sleutel tegen misbruik en overbelasting.
De Kennismonitor is technisch niet herleidbaar. Bij de periodieke kennis- en cultuurmeting zijn de antwoorden technisch niet tot u te herleiden: de tabel met antwoorden bevat geen koppeling naar u of naar uw persoonlijke uitnodiging, en deelname ("wie heeft meegedaan") en inhoud ("wat is geantwoord") zijn technisch van elkaar gescheiden. Uw werkgever ziet alleen resultaten op groepsniveau, en het Platform toont groepsresultaten pas vanaf vijf deelnemers, zodat ook een klein team niet tot personen te herleiden is.
Versleutelde opslag. Contactgegevens (e-mailadres, telefoonnummer), documenten, foto's en instructiemateriaal worden versleuteld opgeslagen. Documenten en foto's zijn alleen te downloaden via tijdelijke, beveiligde links en na een autorisatiecontrole. Elk geüpload bestand wordt bij ontvangst op onze eigen servers op virussen en andere schadelijke software gecontroleerd; een besmet bestand wordt geweigerd. Voor die controle gaat er geen bestand naar een derde partij. Een video die uw werkgever bij een toolbox of instructie uploadt en die nog niet op elke telefoon afspeelt, zet het Platform daarna op onze eigen servers om naar een MP4-bestand dat dat wel doet. Alleen beeld en geluid gaan mee; algemene gegevens die een toestel in een video opslaat, zoals de opnamelocatie, vallen daarbij weg. De omgezette video wordt weer versleuteld opgeslagen en het origineel wordt verwijderd zodra de toolbox naar de nieuwe versie verwijst. Is de video al een MP4-bestand dat overal afspeelt, dan blijft het bestand ongewijzigd, met de gegevens die het toestel erin opsloeg. Ook voor het omzetten gaat er geen bestand naar een derde partij.
AI-hulp alleen als uw werkgever die optie heeft en u zelf op de knop drukt. Heeft uw werkgever de optie AI-ondersteuning afgenomen en aangezet, dan kan degene die een melding doet of behandelt, of die een toolbox maakt, met een AI-knop een voorstel laten opstellen. Alleen dan gaan de tekst van de melding, de genomen maatregelen en de foto (verkleind en zonder locatiegegevens), of het geüploade instructiedocument, naar Anthropic in de Verenigde Staten. Vertrouwelijke meldingen gaan nooit langs de AI, het formulier meldt dat de gegevens naar een AI-dienst gaan, uw invoer wordt niet gebruikt om AI-modellen te trainen en het voorstel wordt altijd door een mens gecontroleerd. Per maand geldt een maximum aantal aanroepen; daarna werkt het Platform gewoon verder zonder AI. Zie hoofdstuk 4.
WhatsApp alleen als uw werkgever die optie heeft. Uitnodigingen, herinneringen en aftekenverzoeken voor de Kennismonitor en de Toolbox ontvangt u per e-mail (een seintje over een toolbox vanaf app-versie 1.5.0 mogelijk als pushbericht in de app, 3.6). Alleen als uw werkgever de optie WhatsApp-bundel heeft afgenomen en dat kanaal kiest, ontvangt u ze via WhatsApp; daarvoor worden uw naam en telefoonnummer aan de WhatsApp-dienstverlener doorgegeven (hoofdstuk 4). Is het maandelijkse aantal berichten van uw werkgever op, dan ontvangt u het bericht per e-mail. Gebruikt uw werkgever ook de module Alarmering, dan kan een alarm u als terugval via WhatsApp bereiken (zie hieronder).
Een alarm is altijd een mensenbesluit. Gebruikt uw werkgever de module Alarmering, dan kan alleen een bevoegde bij uw werkgever in het Platform een alarm slaan; er is geen automatische koppeling. Een oefening is overal als oefening te herkennen. Het alarm is een aanvulling op het ontruimingsalarm en de bedrijfshulpverlening van uw werkgever: volg altijd ook het ontruimingssignaal en de aanwijzingen van de BHV, en bel bij gevaar 112. Brightsafe garandeert niet dat een bericht aankomt: dat hangt ook af van uw toestel, uw netwerk en de diensten van Apple en Google. Bereikt een alarm u niet via de app, dan stuurt het Platform het per e-mail en, als uw werkgever de WhatsApp-bundel heeft, via WhatsApp.

3.4 Wat gebeurt er als een melding wordt geanonimiseerd?

De organisatie die Brightsafe gebruikt (uw werkgever, opdrachtgever of de houder van de locatie) kan Brightsafe vragen oude meldingen op te schonen. Wij wissen dan de naam en de contactgegevens van de melder, de organisatie van de melder, de foto die de melder meestuurde, de vrije antwoorden op het meldformulier, de notities van de behandelaar en de gegevens van betrokkenen en getuigen.

De omschrijving van het incident en de bijgevoegde documenten blijven bewaard. Dat is het bewijs voor de Arbeidsinspectie en voor het ongevallenregister, en de wettelijke bewaarplicht daarvan kan langer duren dan de eigen bewaartermijn. Daarin kan iemand toch nog herkenbaar zijn, bijvoorbeeld door een naam die in de lopende tekst of in een bestandsnaam wordt genoemd. Ook het feit dát een melding is behandeld en door wie blijft in de audittrail staan; dat is bewijs van de behandeling.

Deze opschoning gebeurt niet automatisch. Zolang de verantwoordelijke organisatie er niet uitdrukkelijk om vraagt, blijft alles staan (zie 3.5). De omschrijving van het incident en de bijlagen kan de organisatie zelf aanpassen of verwijderen; de foto van de melder, de vrije antwoorden op het meldformulier en de oorspronkelijke (onvertaalde) versie van automatisch vertaalde teksten zijn in het scherm alleen leesbaar en niet te bewerken; laat die dus opschonen via het verzoek hierboven of via info@brightsafe.nl. Ook geldt: "verwijderen" in het scherm haalt een melding uit de lijsten, maar de inhoud blijft in de database staan totdat de organisatie ons vraagt die definitief te wissen. Daarnaast gelden deze waarborgen: toegang tot meldingen is beperkt tot personen met de juiste rol, vertrouwelijke meldingen hebben een extra afscherming, elke handeling wordt vastgelegd in een audittrail waarin het Platform bestaande regels niet laat wijzigen, en foto's en documenten zijn versleuteld opgeslagen.

3.5 Hoe lang blijven uw gegevens in het Platform staan?

Hoe lang uw gegevens in het Platform blijven staan, bepaalt de organisatie die Brightsafe gebruikt. Uw meldingen, aftekeningen en andere inhoud verwijderen of anonimiseren wij niet uit onszelf. Automatisch verwijdert het Platform alleen het volgende:

De persoonlijke gegevens van een alarm (Alarmering). Wie het alarm kreeg, of het aankwam, wat u antwoordde en uw notitie bij een hulpvraag, en de afvinkingen door de BHV verwijdert het Platform 30 dagen na het einde van een oefening en 365 dagen na het einde van een echt alarm. Daarna blijven alleen de cijfers (hoeveel mensen het kregen, hoeveel reageerden en hoe snel) en het logboek van het alarm zelf (welk bericht wanneer uitging) bewaard, zonder de namen van ontvangers en zonder notities. Deze termijnen liggen vast; uw werkgever kan ze niet verlengen.
Technische hulpgegevens. Verlopen inlogsleutels van de Brightsafe-app, met de toestelgegevens erbij (3.6); pushadressen van toestellen met de gegevens erbij (3.6, "Pushberichten"); uploads die halverwege zijn afgebroken of nooit zijn opgeslagen; een export die uw werkgever liet klaarzetten, zodra de downloadtermijn voorbij is (de gegevens zelf blijven in het Platform); de werkgegevens van uitnodigingsrondes voor de app (per medewerker 30 dagen na het einde van de ronde, de ronde zelf 12 maanden na het aanmaken) en van het inlezen van een medewerkerslijst (het bestand bij afloop, de ingelezen regels, met namen en contactgegevens, 24 uur na afloop, de import zelf 12 maanden na het aanmaken); en het register van AI-aanroepen voor toetsvragen bij toolboxen, 12 maanden na afronding.
Uw profielfoto, als uw werkgever u als niet actief markeert (3.6). Die verwijdering volgt op een handeling van uw werkgever.
Het origineel van een geüploade video, zodra de omgezette MP4-versie klaar is (3.3); de video zelf blijft. Hoefde de video niet te worden omgezet, dan blijft het origineel.

Het logboek van handelingen (de audittrail) valt daar niet onder: daarvoor draait geen automatische verwijdering. Het blijft staan zolang de overeenkomst met uw werkgever loopt en wordt niet op verzoek gewist, omdat het dient als controlemiddel. Logregels die ouder zijn dan 24 maanden verdwijnen wel wanneer wij op verzoek van een organisatie haar inhoud volgens een bewaartermijn opschonen, van welke organisatie ook. Verlangt de AVG dat uw persoonsgegevens uit een logregel verdwijnen, dan halen wij die eruit; de regel zelf blijft dan staan. Een mislukte inlogpoging legt het Platform vast met het ingevoerde e-mailadres, zonder koppeling aan een organisatie; zo'n regel valt daardoor niet onder de verwijdering na het einde van de overeenkomst en blijft staan tot een opschoning hem na 24 maanden meeneemt.

Een opschoning van inhoud voeren wij alleen uit op uitdrukkelijk verzoek van die organisatie, waarna wij de gegevens anonimiseren of verwijderen zoals in 3.4 beschreven.

Eindigt de overeenkomst met die organisatie, dan blijft haar omgeving 30 dagen alleen-lezen beschikbaar zodat zij haar gegevens kan veiligstellen; daarna verwijderen wij de gegevens uit de productieomgeving, ook het logboek van handelingen (uiterlijk 40 dagen na het einde). Voor een gratis proefomgeving die niet in een abonnement is omgezet, geldt een termijn van 90 dagen. Kopieën in back-ups roteren daarna automatisch uit; uiterlijk 90 dagen na de verwijdering uit de productieomgeving zijn de gegevens ook uit de back-ups verdwenen. De tweede back-upkopie staat ten minste 30 dagen onder een schrijf- en wisblokkade (Object Lock): in die periode kan zij niet vanaf onze servers of met de sleutels daarop worden gewijzigd of gewist. De precieze termijnen staan in de Verwerkersovereenkomst (artikel 10.2 en 10.3) en de SLA (paragraaf 7.2 en 8.2).

3.6 De Brightsafe-app

Gebruikt uw werkgever Brightsafe, dan kan hij u toegang geven tot de Brightsafe-app. Daarmee meldt u onveilige situaties en incidenten, tekent u toolboxen en instructies af, rondt u acties af, voert u werkplekinspecties uit en ziet u uw eigen meldingen en certificaten. In nieuwere versies kunt u ook zelf een profielfoto toevoegen (zie "Uw profielfoto"). Vanaf versie 1.4.0 vult u ook een LMRA in de app zelf in (zie "Een LMRA in de app"), bekijkt u video's bij toolboxen en de bewijsdocumenten van uw certificaten in de app (zie "Video's en certificaatdocumenten in de app"), ziet u de noodinformatie van uw werkgever, stelt u in welke berichten u wilt krijgen, kunt u de app met Face ID of uw vingerafdruk openen en kunt u vanuit de app een probleem aan Brightsafe melden. Vanaf versie 1.5.0 kan de app u pushberichten sturen: seintjes over werk dat voor u klaarstaat en, als uw werkgever de module Alarmering gebruikt, een alarm (zie "Pushberichten"). De app is een andere toegang tot hetzelfde Platform: voor uw gegevens maakt de app uitsluitend verbinding met de app-koppeling van het Platform op go.brightsafe.nl/api/v1/app. Alleen het logo van uw werkgever en de afspeelpagina voor een YouTube-video haalt de app los op bij go.brightsafe.nl. Dat verkeer is versleuteld en passeert de beschermende tussenlaag van Cloudflare vóór go.brightsafe.nl (hoofdstuk 4). Voor pushberichten meldt de app zich vanaf versie 1.5.0 daarnaast aan bij de berichtendienst van uw toestel: Apple Push Notification service op een iPhone of Google Firebase Cloud Messaging op Android (zie "Pushberichten"). Documenten (pdf) bij een toolbox toont de app zelf. Deze privacyverklaring opent de app in een browservenster; in versies van de app vóór 1.4.0 gebeurt dat ook met een LMRA en een video bij een toolbox, die dan van het scan-domein komen, dat niet via Cloudflare loopt (voor een LMRA is dat de publieke QR-flow, 3.3). Ook voor wat u via de app invoert of bekijkt, is uw werkgever verwerkingsverantwoordelijke en is Brightsafe verwerker (3.1). Alleen voor de technische serverlogging (2.1), voor berichten die u vanuit de app aan Brightsafe stuurt (2.4) en voor wat wij van Apple en Google ontvangen (zie "App Store en Google Play" hieronder) zijn wij zelf verwerkingsverantwoordelijke.

Toegang alleen via uw werkgever. In de app kunt u zelf geen account aanmaken. Uw werkgever nodigt u uit; u ontvangt dan een e-mail met een persoonlijke link die zeven dagen geldig is en één keer werkt. Met die link kiest u een wachtwoord. Daarbij controleert het Platform via de dienst Pwned Passwords van Have I Been Pwned of dat wachtwoord voorkomt in een bekend datalek. Naar die dienst gaan alleen de eerste vijf tekens van een onomkeerbare afgeleide (hash) van uw wachtwoord, nooit het wachtwoord zelf, uw e-mailadres of andere gegevens over u; omdat daarbij geen persoonsgegevens worden doorgegeven, staat deze dienst niet in hoofdstuk 4. Het Platform bewaart uw wachtwoord uitsluitend als onomkeerbare hash.

Welke gegevens de app verwerkt.

Uw naam en e-mailadres, zoals uw werkgever die in het Platform heeft vastgelegd: om u te laten inloggen en om te tonen wie een melding, actie, aftekening of inspectie heeft gedaan. De app toont daarnaast uw team en de naam van uw werkgever.
Wat u zelf invoert: meldingen (op naam of anoniem), de stand van uw acties en uw notitie bij het afronden ervan, bij inspecties de werklocatie die u kiest, het team, het begintijdstip en uw antwoorden en toelichtingen, en bij toolboxen en instructies uw opmerking, uw handtekening, uw antwoorden op een eventuele toets met de uitslag, en wanneer u de toolbox of instructie opende en aftekende.
Foto's die u zelf toevoegt aan een melding, aan het afronden van een actie of aan een inspectievraag. De app gebruikt de camera of uw fotobibliotheek alleen op het moment dat u zelf een foto maakt of kiest, en zet zelf geen foto's in uw fotobibliotheek; voor de camera vraagt uw toestel u eerst om toestemming. Locatie- en andere gegevens die een toestel in een foto opslaat (EXIF), verwijdert het Platform bij ontvangst: elke foto wordt op de server opnieuw opgeslagen zonder die gegevens. Foto's en uw handtekening worden versleuteld opgeslagen (3.3).
Uw inlogsleutel per toestel: bij het inloggen krijgt de app een persoonlijke sleutel (token). Het Platform legt daarbij het soort toestel vast (zoals iPhone of Android) met een willekeurige code die de app zelf aanmaakt en per installatie bewaart, en het moment waarop u inlogde. Van het gebruik van de sleutel legt het Platform geen tijdstip vast, alleen de dag: haalt de app op een dag voor het eerst uw profiel op, dan schuift de verloopdatum van de sleutel op (zie "Toegang, sleutels en bewaartermijn"). Zo heeft elk toestel een eigen sleutel. Uw werkgever ziet in het beheer of u bent uitgenodigd, of u uw toegang tot de app heeft geactiveerd en op welke datum u voor het laatst inlogde.
Technische gegevens: de taalinstelling van uw toestel (zodat het Platform teksten zoals toolboxen, formulieren en foutmeldingen zo mogelijk in uw taal levert) en het versienummer van de app. Zoals bij elk bezoek aan het Platform wordt uw IP-adres kortstondig verwerkt in de technische serverlogging. Bij het inloggen, bij het aanvragen van een nieuw wachtwoord en bij een verzoek met een ongeldige of verlopen inlogsleutel gebruikt het Platform uw IP-adres daarnaast kortstondig om misbruik en overbelasting tegen te gaan (2.1).
Noodinformatie van uw werkgever. Uw werkgever kan in het Platform noodinformatie invullen: een intern alarmnummer, de verzamelplaats, waar de EHBO-post en de AED zijn, een korte aanvulling, en de bedrijfshulpverleners (BHV'ers) met hun naam en telefoonnummer. Alle actieve Medewerkers van uw werkgever met de app zien deze informatie bovenaan Profiel en kunnen een BHV'er vanuit de app bellen; de app bewaart haar daarvoor op uw toestel, zodat zij ook zonder verbinding beschikbaar is. Bent u BHV'er, dan staan uw naam en telefoonnummer dus in de app van uw collega's; uw werkgever vult dat in en hoort u daarover te informeren. De telefoonnummers staan versleuteld op het Platform. Ook hiervoor is uw werkgever verwerkingsverantwoordelijke en Brightsafe verwerker (3.1). Het logboek van het Platform legt alleen vast dát de noodinformatie werd gewijzigd, door wie en welke onderdelen, nooit de namen of nummers zelf. Bellen vanuit de app opent alleen de telefoon-app van uw toestel; de app krijgt geen toegang tot uw contacten.
Uw meldingsvoorkeuren. Onder Profiel > Notificaties kiest u of u een bericht wilt krijgen over een nieuwe toolbox, een actie die aan u is toegewezen, een reactie op uw melding en een geplande inspectie (als pushbericht in de app of per e-mail, zie "Pushberichten"). Standaard staat alles aan. Het Platform bewaart uw keuze bij uw account en legt in het logboek vast wanneer u iets wijzigde. Het werk zelf blijft in de app staan. Berichten die nodig zijn voor uw toegang of uw rechten, zoals de uitnodiging, een nieuw wachtwoord of de afhandeling van een verwijderverzoek, kunt u niet uitzetten. Ook een alarm (module Alarmering) staat hier niet tussen: dat komt altijd, ook als u alle seintjes uitzet.
Een probleem melden. Onder Profiel > Hulp en contact kunt u Brightsafe een bericht sturen. Wat er dan wordt verwerkt, en dat uw werkgever het niet ziet, staat in 2.4.

Pushberichten (vanaf app-versie 1.5.0). Vanaf versie 1.5.0 kan de app u berichten op uw telefoon sturen (pushberichten), ook als de app dicht is. Dat gaat via de berichtendienst van uw toestel: Apple Push Notification service op een iPhone en Google Firebase Cloud Messaging op Android. Apple en Google zijn daarvoor subverwerker van Brightsafe (hoofdstuk 4).

Vanaf wanneer. Pushberichten werken vanaf app-versie 1.5.0, zodra Brightsafe ze voor het Platform heeft aangezet. Zolang ze niet aan staan, en ook zolang u een oudere versie van de app gebruikt of geen meldingen toestaat, krijgt u de seintjes over werk per e-mail, zoals voorheen.
Uw keuze. De app vraagt na een korte uitleg of u meldingen wilt toestaan. Dat kiest u zelf; zonder meldingen werkt de app gewoon en krijgt u de seintjes per e-mail. Staat u meldingen toe, dan meldt de app zich meteen aan bij Apple of Google; die verwerken dan het pushadres (zie hieronder). U kunt het later wijzigen onder Profiel > Notificaties of in de instellingen van uw telefoon.
Wat het Platform over uw toestel bewaart. Staat u meldingen toe, dan krijgt de app van Apple of Google een pushadres: een willekeurige code voor deze installatie van de app, waarmee een bericht uw toestel bereikt. De app stuurt dat adres naar het Platform, samen met een willekeurige installatiecode voor pushberichten (een andere dan die bij uw inlogsleutel), het soort toestel (iPhone of Android), de versies van de app en van het besturingssysteem, de taal en de meldingsinstellingen van uw toestel die voor de aflevering tellen: of meldingen aan staan en, voor een alarm, onder meer tijdgevoelige meldingen, het alarmkanaal, schermvullende meldingen, niet storen, het alarmvolume en de batterijbesparing. Het Platform legt ook vast op welke dag de app zich voor het laatst aanmeldde, niet het tijdstip. De app meldt zich aan als u haar opent of naar haar terugkeert, zonder wijziging hoogstens eens per 24 uur, en verder na het inloggen en bij een nieuw pushadres of andere instellingen; het Platform werkt die dag hoogstens eens per dag bij, en nooit bij het versturen van een melding. Het Platform bewaart dit alleen als er een doel voor is: voor seintjes bij elke werkgever die het Platform gebruikt, zodra Brightsafe pushberichten heeft aangezet; voor alarmmeldingen als uw werkgever de module Alarmering gebruikt. Zet u meldingen later uit, dan meldt de app dat; het toestel blijft dan met die instelling staan, maar krijgt geen pushberichten meer, tot een van de opruimregels hieronder geldt. Het pushadres staat versleuteld opgeslagen en komt nooit in een export of logbestand. In een volledige export van de omgeving van uw werkgever, die de beheerders van uw werkgever zelf in het Platform kunnen maken en downloaden (en die Brightsafe op verzoek ook levert), staan de andere toestelgegevens wel, behalve de installatiecode. Uw werkgever kan daarin dus zien op welke dag de app zich voor het laatst aanmeldde en hoe de meldingen op uw toestel zijn ingesteld.
Seintjes over werk. Een seintje over een nieuwe toolbox of werkinstructie, een actie, een reactie op uw melding of een geplande inspectie krijgt u dan als pushbericht in plaats van per e-mail. Neemt Apple of Google het pushbericht niet aan, of loopt er bij uw werkgever een alarm (tot 24 uur na het einde), dan krijgt u het seintje per e-mail. Staat uw telefoon langer dan 24 uur uit, dan vervalt het pushbericht; het werk staat dan wel gewoon in de app. In een seintje staat alleen een korte vaste titel, zoals "Nieuwe toolbox" of "Reactie op je melding", en een vaste zin zoals "Open de app voor de details", in uw taal. Geen inhoud: geen titel van de toolbox of actie, geen naam van u, collega's of uw werkgever, geen meldingstekst. Verder bevat het bericht alleen verwijzingsnummers (het nummer van de toolbox, actie, melding of inspectie, en dat van uw werkgever in het Platform), waarmee de app het juiste scherm opent; de inhoud haalt de app zelf op bij het Platform. Apple en Google zien alleen dit, omdat zij het bericht afleveren. Wij laten hen het bericht hoogstens 24 uur proberen af te leveren; daarna leveren zij het niet meer af. Let op: de vaste titel kan op het vergrendelscherm van uw telefoon verschijnen, afhankelijk van uw instellingen.
Alarmmeldingen, alleen als uw werkgever de module Alarmering gebruikt. In een alarmmelding staat of het een alarm of een oefening is, wat er aan de hand is, wat u moet doen, de naam van uw werkgever, de locatie en de verzamelplaats. Brightsafe zet er nooit namen van personen in: niet van u, niet van collega's en niet van wie het alarm sloeg, en geen notities. De tekst van het alarm en de namen van locaties en verzamelplaatsen bepaalt uw werkgever. Apple en Google zien deze inhoud omdat zij het bericht afleveren; wij laten hen een alarmmelding hoogstens 1 uur (een eindbericht 24 uur) proberen af te leveren. Uw werkgever ziet in het Platform of u via de app bereikbaar bent voor een alarm, en kan u een proefmelding sturen. Komt een alarmmelding binnen of opent u hem, dan meldt de app dat aan het Platform, zodat uw werkgever ziet dat het bericht is aangekomen. Elke alarmmelding bevat een willekeurige sleutel die alleen voor dat ene alarm en alleen voor u geldt, tot 24 uur na het einde. Daarmee kan de app het alarm laten zien en uw antwoord versturen, ook als u niet (meer) bent ingelogd, bijvoorbeeld omdat uw sessie verliep. Met die sleutel is niets anders te zien of te doen. De app vraagt voor Alarmering geen toegang tot uw locatie. Heeft u in uw browser meldingen van het medewerkersportaal toegestaan, dan kan een alarm u ook als browsermelding bereiken, via de pushdienst van uw browser; die melding is end-to-end versleuteld, zodat die pushdienst de inhoud niet kan lezen. Beheerders van uw werkgever die browsermeldingen in het Platform aan hebben, krijgen zo'n melding met de naam van wie het alarm sloeg.
Uitzetten. Seintjes zet u per soort uit onder Profiel > Notificaties (zie "Uw meldingsvoorkeuren"), of alle meldingen tegelijk in de instellingen van uw telefoon. Zet u meldingen op uw telefoon uit, dan krijgt u de seintjes weer per e-mail en bereikt een alarm u via de terugval (3.3).
Wanneer het pushadres verdwijnt. Het Platform verwijdert het pushadres met de gegevens erbij als u uitlogt; als uw werkgever u op niet actief zet of uw toegang op een andere manier intrekt (bijvoorbeeld met "uitloggen op alle toestellen" of na een verzoek tot verwijdering); 60 dagen nadat de app zich voor het laatst aanmeldde; 7 dagen nadat Apple of Google het adres ongeldig verklaarde; en 30 dagen nadat er geen doel meer voor is, bijvoorbeeld omdat uw werkgever het Platform niet meer gebruikt (alleen-lezen, opgeschort of beëindigd). Logt iemand anders op de telefoon in, dan hoort het adres vanaf dat moment bij die persoon en niet meer bij u, ook als die persoon voor een andere werkgever werkt. Bij Google hoort bij de app op uw Android-toestel ook een installatiecode van Firebase. Die laat Brightsafe op dit moment niet zelf verwijderen; Google bewaart hem volgens zijn eigen voorwaarden, en na verwijdering nog hoogstens 180 dagen in back-ups.
Grondslag. Ook voor pushberichten is uw werkgever verwerkingsverantwoordelijke en Brightsafe verwerker (3.1). Een seintje als pushbericht vervangt de e-mail die u anders krijgt; een alarmmelding dient om u in een noodsituatie te waarschuwen. Of u meldingen toestaat, kiest u zelf op uw toestel.

Een LMRA in de app (vanaf app-versie 1.4.0). Een LMRA vult u in de app zelf in, ook zonder verbinding; de app verstuurt hem dan zodra er weer verbinding is. In de app is een LMRA altijd op uw naam: het Platform legt uw naam vast (versleuteld), koppelt de LMRA aan uw account, en bewaart uw antwoorden, de gekozen locatie of het project, het moment waarop u de LMRA op uw toestel afrondde naast het moment van ontvangst, en, als u die zet, uw handtekening (door de server opnieuw getekend en versleuteld opgeslagen). Bij een "nee" legt u uit wat er onveilig is en kunt u een foto toevoegen; die wordt zonder locatie- en toestelgegevens (EXIF) en versleuteld opgeslagen. U ziet uw eigen LMRA's terug onder "Mijn LMRA's". Uw leidinggevende en de beheerders van uw werkgever zien de LMRA met uw naam; bij "niet veilig" krijgen zij direct een seintje en ontstaat er een taak om het op te lossen, precies zoals bij een LMRA via een QR-code. Uw IP-adres gebruikt het Platform voor een LMRA in de app niet, behalve in de gewone technische serverlogging (2.1). Wilt u een LMRA zonder naam invullen, gebruik dan de QR-code op de werkplek (3.3); die blijft bestaan en verandert niet. Schonen wij op verzoek van uw werkgever gegevens op volgens een door hem opgegeven bewaartermijn, of wordt een verzoek tot verwijdering uitgevoerd, dan gaan uw naam, de koppeling aan uw account en uw handtekening weg; de invulling zelf (uitkomst, antwoorden, toelichting, plek en moment) blijft als veiligheidsregistratie van uw werkgever bewaard.

Video's en certificaatdocumenten in de app (vanaf app-versie 1.4.0).

Een geüploade video bij een toolbox speelt de app af via een tijdelijke, beveiligde link van het Platform. Daar komt geen andere partij aan te pas.
Een video op YouTube of Vimeo. Heeft uw werkgever bij een toolbox een video op YouTube of Vimeo gezet, dan speelt de app die af in een ingebouwde speler van dat platform. Uw toestel maakt dan zelf verbinding met Google (YouTube) of Vimeo, die daarbij, net als wanneer u de video in een browser opent, onder meer uw IP-adres, gegevens over uw toestel en wat u bekijkt ontvangen. De app gebruikt de privacyvriendelijke varianten van die spelers (youtube-nocookie.com, en bij Vimeo de instelling "do not track") en geeft geen gegevens over u mee: geen naam, e-mailadres, werkgever of account, alleen het nummer van de video. Een YouTube-video laadt de app via een kale afspeelpagina op go.brightsafe.nl die geen cookies zet, niet aan u gekoppeld is en verder niets verwerkt; YouTube ziet daardoor alleen dat de video via go.brightsafe.nl wordt afgespeeld. De ingebouwde speler draait los van uw browser, dus ook niet in een Google-account waarmee u daar bent ingelogd. Google en Vimeo zijn voor wat zij zo ontvangen zelfstandig verwerkingsverantwoordelijke onder hun eigen privacyvoorwaarden, geen subverwerker van Brightsafe: uw werkgever kiest zelf voor een video bij hen, zoals voorheen bij het openen in een browser. Google en Vimeo zitten (ook) in de Verenigde Staten. Wilt u geen gegevens naar Google of Vimeo laten gaan, speel zo'n video dan niet af en vraag uw werkgever om hem als bestand te uploaden.
Het bewijsdocument van uw certificaat (pdf of foto) kunt u in de app bekijken, alleen uw eigen document en alleen met verbinding. De app bewaart het niet op uw toestel en ook niet in de tijdelijke opslag (cache).

Uw profielfoto (vanaf de eerste versie van de app na 1.3.0). In de app kunt u onder Profiel (in versies van de app tot en met 1.3.1: Ik) zelf een profielfoto toevoegen, wijzigen of verwijderen. Dat is helemaal vrijwillig: zonder foto werkt alles hetzelfde en toont de app uw initialen.

Wat wordt verwerkt. De foto die u zelf kiest of maakt, en het moment waarop u hem voor het laatst wijzigde. De app snijdt de foto vierkant bij en verstuurt een verkleinde versie (512 bij 512 beeldpunten) zonder de gegevens die een toestel in een foto opslaat, zoals de locatie (EXIF). Het Platform slaat elke foto bovendien opnieuw op in dat formaat, zodat zulke gegevens ook verdwijnen als er toch iets in zou staan.
Waarvoor. Zodat u en de beheerders van uw werkgever in één oogopslag zien om wie het gaat: in de app en in de medewerkerslijst van het Platform. Voor niets anders: de foto komt niet in meldingen, aftekeningen, inspecties of rapportages, en het Platform doet er geen gezichtsherkenning of andere automatische analyse mee.
Wie hem ziet. U zelf, in de app, en de beheerders van uw werkgever in het Platform (de mensen die bij uw werkgever Brightsafe beheren). Collega's zien hem niet: de app toont nooit de foto van iemand anders. Een beheerder kan uw foto alleen verwijderen, niet vervangen en ook niet zelf een foto van u plaatsen; zo'n verwijdering wordt vastgelegd in de audittrail. Brightsafe kijkt er, zoals bij al uw gegevens, alleen naar voor zover dat voor support of beheer nodig is (3.1).
Grondslag. Ook voor de foto is uw werkgever verwerkingsverantwoordelijke en Brightsafe verwerker (3.1); uw werkgever bepaalt de grondslag. Brightsafe heeft de functie zo ingericht dat de foto uw eigen keuze blijft: alleen u kunt hem plaatsen, er hangt niets van af, en u kunt hem op elk moment zelf weer verwijderen. Omdat toestemming van een werknemer aan zijn werkgever volgens de AVG zelden echt vrij is, ligt het gerechtvaardigd belang van uw werkgever (artikel 6 lid 1 onder f AVG) bij herkenbaarheid in het beheer als grondslag het meest voor de hand, met uw vrije keuze als waarborg. Welke grondslag uw werkgever gebruikt, kunt u bij hem navragen.
Opslag en beveiliging. De foto staat versleuteld op een niet-publieke schijf, in de afgeschermde omgeving van uw werkgever, op de servers van Brightsafe in Nederland (TransIP). Bij ontvangst wordt hij gecontroleerd op virussen en andere schadelijke software (3.3). Beheerders zien hem alleen via een kort geldige, beveiligde link na een controle of zij dat mogen. De foto gaat naar geen andere dienstverleners dan die voor de hosting en de back-ups, en hij passeert, zoals al het verkeer van de app, de beschermende tussenlaag van Cloudflare (hoofdstuk 4). Hij gaat niet naar de vertaaldienst, de AI-ondersteuning, de e-maildienst of WhatsApp.
Hoe lang. Tot u hem zelf verwijdert of vervangt; bij vervangen wordt de vorige foto verwijderd. Daarnaast wordt de foto verwijderd zodra uw werkgever u als niet actief markeert, bijvoorbeeld als u uit dienst gaat (maakt hij u later weer actief, dan komt de oude foto niet terug); als uw gegevens op een verzoek tot verwijdering worden gewist, ook na een aanvraag via "Account en gegevens verwijderen" in de app; als uw gegevens als Medewerker op verzoek van uw werkgever volgens een door hem opgegeven bewaartermijn worden verwijderd; en als de omgeving van uw werkgever na het einde van de overeenkomst wordt verwijderd (3.5). Een verwijderde foto kan nog in back-ups staan; die roteren uiterlijk binnen 90 dagen uit (3.5). In de audittrail blijft alleen staan dát er een foto is toegevoegd, gewijzigd of verwijderd, wanneer en door wie (u, een beheerder, of het Platform bij uit dienst gaan of verwijdering), nooit de foto zelf.
Op uw toestel. De app bewaart uw eigen foto in de kopie op uw toestel, zodat u hem ook zonder verbinding ziet, en wist hem met de rest van die kopie (zie "Gegevens op uw toestel"). Kiest of verwijdert u zonder verbinding een foto, dan wacht dat op verzending zoals ander werk; alleen uw laatste keuze gaat mee.
Uw rechten. Inzien, vervangen en verwijderen doet u zelf in de app. Wilt u dat uw werkgever de foto niet verwerkt, dan verwijdert u hem; dat werkt direct. Voor uw andere rechten geldt wat hieronder bij "Inzage, correctie en verwijdering" en in hoofdstuk 7 staat.

Wat de app niet doet. De app vraagt geen toegang tot uw locatie of uw contacten, gebruikt geen advertentie-ID en bevat geen software van derden voor advertenties, gebruiksstatistieken of crashrapportage. Voor pushberichten bevat de Android-app vanaf versie 1.5.0 alleen de berichtenmodule van Google Firebase (Firebase Cloud Messaging); de gebruiksstatistieken van Firebase (Analytics) zitten er niet in en staan uit. De app volgt u niet in andere apps of op websites. De enige inhoud van derden die de app laadt, is de speler van YouTube of Vimeo, en alleen als u een video afspeelt die uw werkgever daar heeft gezet (zie "Video's en certificaatdocumenten in de app").

Openen met Face ID of vingerafdruk (vanaf app-versie 1.4.0). U kunt de app laten vergrendelen met Face ID, Touch ID of uw vingerafdruk (onder Profiel > Account), met de toegangscode van uw toestel als terugval. Dat is uw eigen keuze; na de eerste keer inloggen vraagt de app één keer of u het wilt aanzetten. Het ontgrendelen gebeurt helemaal door het besturingssysteem van uw toestel: de app krijgt alleen te horen of het gelukt is, en uw gezicht of vingerafdruk verlaat uw toestel nooit. Brightsafe en uw werkgever ontvangen er niets van en weten niet of u het slot gebruikt. Op het toestel bewaart de app alleen dát u het slot aanzette.

Met wie gegevens uit de app worden gedeeld. Wat u via de app verstuurt, verwerkt het Platform op dezelfde manier en met dezelfde subverwerkers als wat via go.brightsafe.nl binnenkomt (hoofdstuk 4). Zo gaat de uitnodigingsmail via Brevo en kan de tekst van een melding automatisch worden vertaald via DeepL. Voor pushberichten (vanaf app-versie 1.5.0) komen daar Apple en Google bij (zie "Pushberichten"). Brightsafe verkoopt uw gegevens niet en deelt ze niet voor advertenties. Brightsafe legt elke subverwerker via een overeenkomst dezelfde verplichtingen op het gebied van gegevensbescherming op als in de Verwerkersovereenkomst staan (artikel 7.2 van de Verwerkersovereenkomst). Voor Apple en Google (pushberichten) gelden hun standaardvoorwaarden voor ontwikkelaars; die wijken op enkele punten af, zoals audits (hoofdstuk 4).

Anoniem melden vanuit de app. Kiest u in de app voor anoniem melden, dan slaat het Platform bij die melding uw naam, uw e-mailadres en uw account niet op. Omdat u in de app bent ingelogd, gaat ook een anonieme melding over uw ingelogde verbinding. Het Platform gebruikt uw inlogsleutel dan alleen om te controleren of u mag melden. Het noteert daarbij geen tijdstip van gebruik van uw sleutel. De verloopdatum van uw sleutel kan wel opschuiven, maar nooit bij het versturen van een melding, alleen bij het ophalen van uw profiel; en daaruit is alleen af te leiden op welke dag u de app gebruikte, niet op welk moment of waarvoor. Om u onder "Mijn meldingen" toch de status van de melding en de terugkoppeling van de behandelaar te kunnen tonen, bewaart de app een willekeurig referentienummer van de melding op uw toestel en stuurt zij dat nummer mee wanneer zij uw meldingen ophaalt. Het Platform gebruikt het nummer alleen om die melding aan u terug te geven en legt in zijn gegevens niet vast dat het nummer bij u hoort. Omdat de app de nummers in het webadres van dat verzoek meestuurt, komen ze wel, net als elk ander webadres dat de app opvraagt, samen met uw IP-adres in de technische serverlogging (2.1), die automatisch uitroteert en die wij niet langer dan circa veertien dagen bewaren. Verder gelden dezelfde kanttekeningen als bij anoniem melden via een QR-code (3.3): zet u bijvoorbeeld zelf uw naam in de omschrijving, dan is de melding alsnog tot u te herleiden. Ook ziet de behandelaar bij de melding dat zij via de app is gedaan. Ontvangt u pushberichten, dan legt het Platform bovendien vast op welke dag de app zich voor het laatst aanmeldde (zie "Pushberichten"), niet het tijdstip. Ook dat staat los van het versturen van een melding; daaruit is dus eveneens alleen af te leiden op welke dag u de app gebruikte, niet op welk moment of waarvoor. Heeft uw werkgever maar weinig Medewerkers toegang tot de app gegeven, dan maakt dat de groep mogelijke melders kleiner. Nog een verschil: een melding vanuit de app passeert, zoals al het verkeer van de app, de beschermende tussenlaag van Cloudflare vóór go.brightsafe.nl (hoofdstuk 4). Een melding via een QR-code op het scan-domein doet dat niet.

Gegevens op uw toestel. Zodat u ook zonder verbinding kunt werken, bewaart de app een kopie van wat u nodig heeft op uw toestel: uw profiel (met uw profielfoto, als u die heeft), de noodinformatie van uw werkgever, uw meldingsvoorkeuren, uw acties, toolboxen en instructies met hun inhoud, formulieren, locaties en teams, uw meldingen, LMRA's en certificaten (zonder de bewijsdocumenten), de documenten van toolboxen die u nog moet aftekenen (die haalt de app alvast op), foto's die u heeft geopend, inspecties in concept en wat nog op verzending wacht, zoals een LMRA die u zonder verbinding invulde. Gebruikt uw werkgever de module Alarmering, dan bewaart de app ook het laatste alarm met de sleutel daarvan, zodat u het zonder verbinding kunt lezen, en uw antwoord als dat nog niet kon worden verstuurd. Logt u uit, dan wist de app het alarm; alleen een antwoord dat nog niet is verstuurd, blijft hoogstens 24 uur staan tot het Platform het heeft, omdat de BHV erop rekent. Een verlopen sessie wist het alarm niet: met de sleutel van het alarm kunt u dan nog antwoorden (zie "Pushberichten"). Wat u zonder verbinding invoert, verstuurt de app zodra er weer verbinding is. Gegevens, foto's en documenten die de app zelf van het Platform ophaalt, bewaart zij alleen in deze kopie en niet daarnaast in de tijdelijke opslag (cache) van de app. De enige uitzondering is het logo van uw werkgever: dat kan wel in die cache terechtkomen, is geen persoonsgegeven en wordt bij uitloggen niet gewist; het verdwijnt als het toestel die cache opruimt of u de app verwijdert. Uw inlogsleutel staat in de beveiligde opslag van het besturingssysteem (de sleutelhanger van iOS; op Android opslag die met de Android Keystore is beveiligd) en blijft aan uw toestel gebonden: ook via een reservekopie (back-up) komt hij niet op een ander toestel terecht. Verwijdert u de app van een iPhone, dan laat iOS de sleutel in de sleutelhanger staan. Installeert u de app opnieuw, dan gebruikt zij die oude sleutel niet, maar probeert zij hem bij de eerste start op het Platform in te trekken; pas als het Platform het intrekken bevestigt of meldt dat de sleutel al ongeldig is, wist de app hem uit de sleutelhanger. Lukt dat niet, bijvoorbeeld omdat er geen verbinding is, dan blijft hij daar staan en probeert de app het bij elke volgende start of terugkeer naar de app opnieuw. Hij verloopt hoe dan ook na 90 dagen zonder gebruik. De kopie van uw gegevens gaat niet mee in een reservekopie van uw toestel. De kopie wordt van uw toestel gewist:

zodra u uitlogt; ook wat nog niet is verstuurd, gaat dan verloren, en de app waarschuwt u daar vooraf voor;
zodra de app bij contact met het Platform merkt dat uw werkgever u als niet actief heeft gemarkeerd, of dat de omgeving van uw werkgever is opgeschort of gesloten; de app verwijdert dan ook de sleutel;
zodra iemand anders op het toestel inlogt;
als u de app van uw toestel verwijdert.

Zolang uw toestel geen verbinding heeft, kan de app niet zien dat uw werkgever u als niet actief heeft gemarkeerd of dat zijn omgeving is opgeschort of gesloten; de kopie wordt dan gewist bij het eerstvolgende contact met het Platform.

Is alleen uw sleutel verlopen of vervallen, bijvoorbeeld omdat u de app 90 dagen niet gebruikte, nadat u een nieuw wachtwoord koos of omdat u op een elfde toestel inlogde, dan verwijdert de app de sleutel zodra zij dat bij contact met het Platform merkt. Zij wist dan ook het grootste deel van de kopie: uw acties, toolboxen en instructies, formulieren, locaties en teams, uw meldingen, LMRA's en certificaten, de noodinformatie, en de opgeslagen documenten en foto's. Alleen uw profiel, de referentienummers van uw meldingen (zie "Anoniem melden vanuit de app"), inspecties in concept en wat nog op verzending wacht laat zij staan, zodat wat nog niet is verstuurd na opnieuw inloggen alsnog meegaat. Logt u niet opnieuw in, dan blijft dat deel staan totdat iemand anders op het toestel inlogt of u de app verwijdert. Hetzelfde geldt als uw werkgever u in het Platform verwijdert: de app ziet dan alleen een ongeldige sleutel. Een foto die u in de app maakt of kiest, kan daarnaast als los bestand in de opslag van de app blijven staan, met de locatiegegevens die uw toestel erin zette, totdat u de app verwijdert.

Toegang, sleutels en bewaartermijn. Een sleutel blijft geldig zolang u de app gebruikt: hij verloopt pas als u de app 90 dagen niet heeft gebruikt, en dan logt u opnieuw in. Er is geen vaste einddatum. Elke keer dat de app uw profiel ophaalt (bij openen, bij terugkeer naar de app en bij elke synchronisatie), schuift de verloopdatum op, hoogstens één keer per dag; daarom legt het Platform van het gebruik alleen de dag vast. Bij andere verzoeken, zoals het versturen van een melding, schuift hij niet op. Uitloggen, een nieuw wachtwoord, uit dienst gaan en het wissen van uw gegevens na een verzoek tot verwijdering maken de sleutel wel direct ongeldig (zie hieronder); zolang de omgeving van uw werkgever is opgeschort of gesloten, geeft hij geen toegang en schuift hij ook niet op. Wilt u voorkomen dat iemand met uw toestel in de app komt, zet dan het slot met Face ID of vingerafdruk aan (zie hierboven). Uitloggen trekt de sleutel van dat toestel ook op het Platform in; lukt dat niet, bijvoorbeeld omdat er geen verbinding is of het Platform het verzoek op dat moment niet afhandelt, dan bewaart de app de sleutel alleen nog om het intrekken bij een volgende start of terugkeer naar de app opnieuw te proberen. Zodra het Platform het intrekken bevestigt of meldt dat de sleutel al ongeldig is, verwijdert de app hem. Kiest u een nieuw wachtwoord, dan vervallen de sleutels op al uw toestellen. Uw werkgever trekt uw toegang in door u in het Platform als niet actief te markeren, bijvoorbeeld als u uit dienst gaat, of door u te verwijderen; verwijdert uw werkgever u, dan wist de app bij het eerstvolgende contact met het Platform het grootste deel van de kopie op uw toestel, maar blijven uw profiel, de referentienummers van uw meldingen, inspecties in concept en wat nog op verzending wacht staan totdat iemand anders inlogt of u de app verwijdert (zie "Gegevens op uw toestel"). Verlopen sleutels, met de toestelgegevens erbij, ruimt het Platform dagelijks automatisch op, en per Medewerker bewaart het Platform hoogstens tien sleutels: logt u op een elfde toestel in, dan vervalt de oudste. Ook pushadressen ruimt het Platform automatisch op (zie "Pushberichten"); wat het Platform verder automatisch verwijdert, staat in 3.5. Wat u via de app verstuurt, staat daarna in het Platform zoals alle andere gegevens van uw werkgever: hoe lang die bewaard blijven, bepaalt uw werkgever, en het Platform verwijdert ze niet uit zichzelf (3.5).

Inzage, correctie en verwijdering. Wilt u uw gegevens inzien, laten corrigeren of laten verwijderen, of wilt u uw toegang tot de app laten beëindigen? Uw werkgever beheert uw account; richt uw verzoek daarom aan uw werkgever (hoofdstuk 7). U kunt ook mailen naar info@brightsafe.nl. Verwijdering kunt u ook in de app aanvragen: onder Profiel > Account, bij "Account en gegevens verwijderen", eventueel met een toelichting (in versies van de app tot en met 1.3.1 heet Profiel nog Ik: Ik > Account; in versies vóór 1.3.0 Meer > Account; in de oudste versies staat de knop onder Meer, in het blok Over). Brightsafe ontvangt dat verzoek met uw naam, de naam van uw werkgever, het nummer van uw account en uw eventuele toelichting. Zolang de aanvraag nog niet via het Platform kan, opent de app daarvoor een ingevulde e-mail aan info@brightsafe.nl die u zelf verstuurt; wij zien dan ook het e-mailadres waarmee u mailt. Elk verzoek dat bij ons binnenkomt, leggen wij voor aan uw werkgever en handelen wij samen met hem af; u krijgt binnen een maand bericht. Gegevens die uw werkgever wettelijk moet bewaren, zoals een melding van een ongeval, kunnen zonder uw naam bewaard blijven. De kopie op uw toestel wist u zelf door uit te loggen of door de app te verwijderen.

App Store en Google Play. Het downloaden en bijwerken van de app en een beoordeling van de app lopen via Apple (App Store) of Google (Google Play). Apple en Google verwerken daarvoor gegevens, elk als zelfstandig verwerkingsverantwoordelijke, onder hun eigen privacyvoorwaarden. De app kan u via het standaardvenster van Apple of Google om een beoordeling vragen: op zijn vroegst een week na de eerste start, nadat u minstens drie keer iets heeft verstuurd, en hoogstens eens per 90 dagen. De app ziet niet of en wat u daar invult. Brightsafe ontvangt van Apple en Google alleen samengevatte statistieken, zoals het aantal installaties, en technische foutrapporten zonder naam of contactgegevens. Een beoordeling die u openbaar plaatst, kan Brightsafe net als ieder ander lezen, met de naam waaronder u die plaatst, en Brightsafe kan er openbaar op reageren. Voor deze gegevens is Brightsafe zelf verwerkingsverantwoordelijke, niet uw werkgever. De grondslag is ons gerechtvaardigd belang (artikel 6 lid 1 onder f AVG) bij het verbeteren van de app en het reageren op beoordelingen. Wij nemen die gegevens niet over in onze eigen systemen; hoe lang ze bewaard blijven, bepalen Apple en Google. Uw rechten voor deze gegevens, zoals bezwaar, oefent u bij ons uit via info@brightsafe.nl (hoofdstuk 7).

4. Subverwerkers en overige dienstverleners

Brightsafe schakelt voor het leveren van het Platform een beperkt aantal dienstverleners in. De meeste daarvan zijn subverwerkers; drie partijen in de tabel verwerken geen persoonsgegevens in opdracht van uw werkgever en zijn dus geen subverwerker: Mollie B.V. (betalingen, alleen gegevens van de klantorganisatie zelf), Google Ireland Ltd / Microsoft Ireland (alleen als uw werkgever de optie SSO heeft en SSO-inloggen kiest) en UptimeRobot (alleen URL's en statussen, geen persoonsgegevens). Drie dienstverleners worden alleen ingeschakeld als uw werkgever een betaalde optie afneemt: Anthropic (AI-ondersteuning), 360dialog met Meta/WhatsApp (WhatsApp-bundel) en Google of Microsoft (SSO). Apple en Google leveren pushberichten van de Brightsafe-app af (vanaf app-versie 1.5.0, 3.6). Voor hen gelden hun eigen standaardvoorwaarden voor ontwikkelaars (bij Google de Firebase Data Processing and Security Terms); die bevatten de gebruikelijke waarborgen voor verwerkers, maar wijken op enkele punten af van de Verwerkersovereenkomst, zoals het recht op een audit. De Verwerkersovereenkomst zegt dat met zoveel woorden (artikel 13.2 en Bijlage A). De volledige, actuele subverwerkerslijst is een bijlage bij de Verwerkersovereenkomst. Samengevat:

Dienstverlener	Land	Waarvoor
TransIP B.V.	Nederland	Hosting van het Platform (productie, warme standby in een tweede Nederlands datacenter, staging en demo) en off-site back-up (STACK); back-ups worden vóór het uploaden versleuteld
Sentry (Functional Software, Inc.), EU-regio	Duitsland (EU)	Foutmonitoring van de productieomgeving, en prestatiemeting voor zover die is ingeschakeld; ontvangt foutmeldingen, technische stacktraces en technische context. Verzoekinhoud en cookies worden vooraf verwijderd en geheim-achtige velden geredigeerd; toch kan een stacktrace incidenteel persoonsgegevens bevatten
Backblaze Inc.	Verenigde Staten	Tweede off-site back-up (B2, privébucket, versleuteld en ten minste 30 dagen beschermd tegen wijzigen en wissen met Object Lock)
Brevo (Sendinblue SAS)	Frankrijk (EU)	Verzending van transactionele e-mail; ontvangt naam en e-mailadres van geadresseerden
Cloudflare, Inc.	Verenigde Staten (wereldwijd netwerk, ook in de EU)	DNS voor onze domeinnamen en, sinds 17 augustus 2026, een beschermende tussenlaag (proxy tegen overbelasting en aanvallen) vóór het beheerdomein go.brightsafe.nl: het verkeer naar de beheerpanelen, de registratie en de Brightsafe-app (ook een anonieme melding vanuit de app) passeert Cloudflare in versleutelde vorm en wordt daar niet bewaard. De publieke QR-flows op het scan-domein (melden, LMRA, toolbox, portaal, ook anonieme meldingen via een QR-code) lopen niet via Cloudflare
360dialog GmbH (met Meta/WhatsApp)	Duitsland / Ierland / VS	WhatsApp-berichten voor de Kennismonitor en de Toolbox (uitnodigingen, herinneringen, aftekenverzoeken en het welkomstbericht bij ingebruikname), alleen als de Klant de optie WhatsApp-bundel heeft afgenomen en dit kanaal kiest; verwerkt naam en telefoonnummer van Medewerkers. Is de maandbundel op, dan gaan de berichten per e-mail. Gebruikt de Klant met de WhatsApp-bundel ook Alarmering, dan ook de terugvalmelding bij een alarm; voor alarmberichten geldt het maandelijkse aantal niet
Apple Inc. (Apple Push Notification service)	Verenigde Staten (wereldwijd netwerk)	Aflevering van pushberichten op iPhones met de Brightsafe-app (vanaf app-versie 1.5.0): seintjes over werk (alleen een vaste titel en verwijzingsnummers, geen inhoud of namen) en, als de werkgever de module Alarmering gebruikt, alarmmeldingen (wat er aan de hand is, de instructie, de naam van de werkgever, de locatie en de verzamelplaats; geen namen van personen). Ontvangt het pushadres van het toestel en het bericht; mag een bericht hoogstens 24 uur (een alarmmelding hoogstens 1 uur) proberen af te leveren
Google Ireland Ltd / Google LLC (Firebase Cloud Messaging)	Ierland / Verenigde Staten (wereldwijd netwerk)	Hetzelfde voor Android-toestellen met de Brightsafe-app; ontvangt het pushadres en het bericht. Daarnaast een installatiecode van Firebase bij de app op het toestel, die Google volgens zijn eigen voorwaarden bewaart (na verwijdering nog hoogstens 180 dagen in back-ups)
DeepL SE	Duitsland	Automatische vertaling; ontvangt de vrije tekst van een melding (omschrijving, genomen maatregelen, locatie-omschrijving en vrije tekstantwoorden), de instructies en vragen van toolboxen en de vraagteksten van gepubliceerde formuliersjablonen. Die tekst kan persoonsgegevens en in voorkomend geval letselinformatie bevatten.
Anthropic, PBC	Verenigde Staten	AI-hulp bij het melden, behandelen en het maken van toolbox-vragen, alleen als uw werkgever de optie AI-ondersteuning heeft afgenomen en aangezet en u zelf op de AI-knop drukt; ontvangt dan de tekst en foto van de melding (zonder locatiegegevens uit de foto) of het toolbox-document; vertrouwelijke meldingen nooit. Uw invoer wordt niet gebruikt om AI-modellen te trainen en wordt door Anthropic hoogstens 30 dagen bewaard voor misbruikdetectie
Mollie B.V.	Nederland	Betalingen van Klanten via iDEAL en SEPA-incasso; ontvangt bedrijfsnaam, contact-e-mailadres en bedrag. Wij bewaren alleen Mollie-referenties
Google Ireland Ltd / Microsoft Ireland (Microsoft Entra ID)	Ierland (EU)	Uitsluitend als de Klant de optie SSO heeft en inloggen via SSO kiest; alleen authenticatie via OpenID Connect
UptimeRobot	Malta	Uptimebewaking; verwerkt geen persoonsgegevens van Klanten (alleen URL's en statussen)

Doorgifte buiten de EER

Zes dienstverleners kunnen gegevens buiten de Europese Economische Ruimte (EER) verwerken:

Backblaze Inc. (Verenigde Staten): versleutelde back-upkopieën. Backblaze is gecertificeerd onder het EU-VS Data Privacy Framework (inclusief de Britse en de Zwitserse extensie). Als aanvullende waarborg zijn de back-upgegevens vóór en tijdens de opslag versleuteld.
Cloudflare, Inc. (Verenigde Staten): staat sinds 17 augustus 2026 als beschermende tussenlaag vóór het beheerdomein go.brightsafe.nl. Het verkeer naar de beheerpanelen, de registratie en de Brightsafe-app (inclusief de gegevens die u daar invoert of bekijkt, ook een anonieme melding vanuit de app) passeert daardoor het netwerk van Cloudflare, versleuteld; Cloudflare bewaart die gegevens niet en gebruikt ze nergens voor. Cloudflare is gecertificeerd onder het EU-VS Data Privacy Framework en heeft met ons een verwerkersaddendum met de standaardcontractbepalingen als terugval. De publieke QR-flows op het scan-domein, waaronder anoniem melden via een QR-code, lopen bewust níét via Cloudflare; zou dat ooit veranderen, dan beoordelen wij dat opnieuw en informeren wij Klanten via de subverwerkersprocedure in de Verwerkersovereenkomst.
360dialog GmbH met Meta/WhatsApp (Duitsland/Ierland/VS): naam en telefoonnummer van Medewerkers bij WhatsApp-berichten voor de Kennismonitor en de Toolbox. Doorgifte vindt uitsluitend plaats als de Klant de optie WhatsApp-bundel heeft afgenomen en het WhatsApp-kanaal kiest. 360dialog gebruikt daarvoor de WhatsApp Business-dienst van Meta Platforms Ireland Ltd; de grondslag voor de doorgifte aan Meta Platforms, Inc. in de Verenigde Staten zijn de certificering van Meta onder het EU-VS Data Privacy Framework en de standaardcontractbepalingen, naast de verwerkersvoorwaarden van 360dialog.
Anthropic, PBC (Verenigde Staten): AI-hulp, alleen als uw werkgever de optie AI-ondersteuning heeft afgenomen en aangezet en u op de AI-knop drukt; Anthropic is gecertificeerd onder het EU-VS Data Privacy Framework en heeft met ons een verwerkersaddendum; uw invoer wordt niet gebruikt om modellen te trainen. Zodra dezelfde AI-hulp in de EU beschikbaar is, schakelen wij daarop over.
Apple Inc. (Verenigde Staten): pushberichten van de Brightsafe-app naar iPhones (seintjes en, bij Alarmering, alarmmeldingen). Apple is gecertificeerd onder het EU-VS Data Privacy Framework. Een seintje bevat geen inhoud en geen namen; een alarmmelding bevat bewust geen namen van personen en geen gezondheidsgegevens.
Google (Firebase Cloud Messaging; Google Ireland Ltd, met Google LLC in de Verenigde Staten): hetzelfde voor Android-toestellen. Google verwerkt deze gegevens als verwerker onder de Firebase Data Processing and Security Terms, met de standaardcontractbepalingen van de Europese Commissie, en Google LLC is gecertificeerd onder het EU-VS Data Privacy Framework. Ook hier: een seintje zonder inhoud of namen, een alarmmelding zonder namen van personen en zonder gezondheidsgegevens.

Sentry verwerken wij bewust in de EU-regio: de productieomgeving stuurt foutmeldingen naar het Duitse invoerpunt van Sentry (ingest.de.sentry.io), zodat deze gegevens binnen de EER blijven.

Waar gegevens buiten de EER worden verwerkt, gebeurt dat uitsluitend met passende waarborgen in de zin van hoofdstuk V AVG, zoals een adequaatheidsbesluit, certificering onder het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie. Een kopie of vindplaats van de toepasselijke waarborgen kunt u opvragen via info@brightsafe.nl.

5. Beveiliging in het kort

Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen. De belangrijkste, uitgebreider beschreven in de bijlage beveiligingsmaatregelen bij de Verwerkersovereenkomst:

Strikte scheiding tussen Klantomgevingen (multi-tenant isolatie op databaseniveau), automatisch afgedwongen en doorlopend getest.
Toegang op basis van rollen en rechten per Klant; tweefactorauthenticatie verplicht op het platformbeheer.
Versleuteling van gegevens onderweg (TLS/HTTPS) en van opgeslagen documenten, foto's, instructiemateriaal en contactgegevens; downloads uitsluitend via tijdelijke, beveiligde links.
Een audittrail waarin regels alleen worden toegevoegd (append-only), inclusief wijzigingen in rechten en beheerdershandelingen. Het Platform weigert een bestaande regel te wijzigen of te verwijderen, op een paar afgebakende uitzonderingen na: de opschoning van regels ouder dan 24 maanden, de verwijdering na het einde van de overeenkomst en het weghalen van persoonsgegevens als de AVG dat verlangt (3.5). Technisch onderhoud aan de database loopt via onze gecontroleerde uitrolprocedure.
Elk geüpload bestand wordt bij ontvangst op onze eigen servers (productie en reserveomgeving) gescand op virussen en andere schadelijke software; een besmet bestand wordt geweigerd, en is de scanner tijdelijk niet beschikbaar, dan wordt de upload geweigerd in plaats van ongecontroleerd doorgelaten.
Regelmatige, versleutelde back-ups met twee kopieën op aparte off-site locaties, waarvan één kopie ten minste 30 dagen onder een schrijf- en wisblokkade staat (Object Lock) en dus ook bij een inbraak op onze servers of een fout niet kan worden gewist; het terugzetten van back-ups is aantoonbaar beproefd. De datum van de meest recente proef noemen wij op verzoek. De frequenties van back-ups staan in de bijlage beveiligingsmaatregelen bij de Verwerkersovereenkomst; de bewaartermijn van back-ups staat in de SLA.
Continuïteit: naast de productieomgeving houden wij een warme reserveomgeving in een tweede Nederlands datacenter bij. Wij streven bij een zware storing naar herstel binnen vier uur op werkdagen tijdens kantooruren; onze eigen oefeningen liggen daar ruim onder (overschakelen naar de reserveomgeving: gemeten 101 seconden op 9 augustus 2026; volledige herbouw op een nieuwe server bij een andere leverancier: gemeten 11 minuten op 25 juli 2026, exclusief het omzetten van de domeinnaam). Een gemeten waarde onder oefenomstandigheden is geen garantie voor elke storing. Van de database maken wij elk uur een versleutelde off-site kopie, zodat wij bij een calamiteit hoogstens één uur aan gegevens verliezen; door de doorlopende replicatie naar de reserveomgeving is dat in de praktijk enkele seconden.
Gescheiden staging- en demo-omgevingen met uitsluitend fictieve gegevens. Voor het periodiek beproeven van het terugzetten van back-ups gebruiken wij wel een echte back-up; dat gebeurt op een tijdelijke server binnen de EER (bij de proef van 25 juli 2026 was dat een server in Duitsland), die na afloop volledig wordt gewist en verwijderd. Buiten die proeven worden echte klantgegevens niet naar staging-, test- of demo-omgevingen gekopieerd.
Wijzigingsbeheer via versiebeheer, een gecontroleerde uitrolprocedure en externe monitoring met alarmering; alarmen komen bij de eigenaar van Brightsafe binnen met een reactietijd van 1 uur tijdens kantooruren en 4 uur daarbuiten.

100% veiligheid bestaat niet. Vermoedt u een kwetsbaarheid of een datalek, meld dit dan direct via admin@brightsafe.nl.

6. Cookies en opslag op uw apparaat

Platform: het Platform gebruikt uitsluitend functionele cookies, geen tracking- of marketingcookies. Functionele cookies die alleen dienen om u ingelogd te houden, uw taalkeuze te onthouden en het Platform te beveiligen, vereisen geen toestemming en worden niet gebruikt om u te volgen.
Marketingwebsite: onze marketingwebsite brightsafe.nl staat los van het Platform en heeft een eigen privacy- en cookieverklaring; die vindt u op brightsafe.nl.
Lokale opslag in uw browser (webapp): het Platform is ook een webapp met een service worker en gebruikt lokale opslag in uw browser, voor twee dingen. Ten eerste bewaart de webapp een melding die u zonder verbinding invult, om die daarna alsnog te versturen. Zo'n bewaarde melding bevat het meldingstype, de omschrijving en de locatie-omschrijving, maar geen foto's: offline melden via de webapp gaat zonder foto. Zodra de melding is verstuurd, of door het Platform definitief is geweigerd, verdwijnt zij van uw apparaat. Ten tweede bewaart de webapp een kopie van de pagina's van uw medewerkersportaal en van toolboxinstructies die u heeft geopend, zodat u die zonder verbinding kunt herlezen. Die kopie wordt bij elk bezoek met verbinding ververst. Is uw persoonlijke link inmiddels vervallen, bijvoorbeeld omdat uw werkgever hem heeft vernieuwd of u niet meer actief bent, dan verwijdert de webapp de kopie zodra u de pagina met verbinding opent; verder blijft zij staan totdat u de opslag van uw browser wist.
Lokale opslag van de Brightsafe-app: de app bewaart een kopie van uw gegevens, met de noodinformatie van uw werkgever en uw meldingsvoorkeuren, en uw inlogsleutel op uw toestel, zodat u zonder verbinding kunt werken (3.6). Het bewijsdocument van een certificaat bewaart zij niet. Anders dan een offline melding in de webapp blijft die kopie ook na het versturen staan. Zij wordt gewist als u uitlogt, als de app bij contact met het Platform merkt dat uw werkgever u als niet actief heeft gemarkeerd of dat de omgeving van uw werkgever is opgeschort of gesloten, als iemand anders op het toestel inlogt, of als u de app verwijdert. Is alleen uw sleutel verlopen of vervallen, of heeft uw werkgever u verwijderd, dan wist de app de sleutel en het grootste deel van de kopie, maar blijven uw profiel, de referentienummers van uw meldingen, inspecties in concept en wat nog op verzending wacht staan; logt u opnieuw in, dan gaat wat nog wacht alsnog mee (3.6). Op een iPhone blijft de sleutel na het verwijderen van de app in de sleutelhanger staan. Na een nieuwe installatie wist de app hem pas als het intrekken op het Platform is gelukt of het Platform meldt dat hij al ongeldig is (3.6). Het logo van uw werkgever kan in de tijdelijke opslag (cache) van de app staan en blijft daar ook na uitloggen; het is geen persoonsgegeven (3.6). Een foto die u in de app maakt of kiest, kan als los bestand blijven staan totdat u de app verwijdert (3.6). Daarnaast bewaart de app, los van uw gegevens, de willekeurige installatiecode (3.6) en een paar tellers voor de vraag om een beoordeling (wanneer de app voor het eerst werd gestart, hoe vaak iets is verstuurd en wanneer zij het laatst om een beoordeling vroeg). De installatiecode gaat alleen bij het inloggen mee naar het Platform; de tellers stuurt de app nergens heen. Beide blijven bij uitloggen staan en verdwijnen als u de app verwijdert. Vanaf versie 1.4.0 bewaart de app verder of u het slot met Face ID of vingerafdruk aanzette (de biometrische gegevens zelf beheert uw toestel en ziet de app niet), wanneer u de melding over een nieuwe versie wegklikte en welke versie u het laatst opende (voor het scherm "Wat is er nieuw"); dat gaat nergens heen. Speelt u een video van YouTube of Vimeo af, dan kan die speler volgens zijn eigen voorwaarden gegevens in de opslag van de speler zetten (3.6). Vanaf versie 1.5.0 bewaart de app wanneer zij u de uitleg over meldingen liet zien en, als u meldingen toestaat, ook een eigen installatiecode voor pushberichten en wat zij het laatst aan het Platform meldde en wanneer (om niet vaker te melden dan nodig); gebruikt uw werkgever Alarmering, dan ook het laatste alarm en een nog niet verstuurd antwoord daarop (3.6). Bij uitloggen wist de app het alarm en wat zij het laatst meldde; een nog niet verstuurd antwoord op een alarm blijft hoogstens 24 uur staan. De installatiecode voor pushberichten en het moment van de uitleg blijven staan tot u de app verwijdert. Op Android bewaart de berichtenmodule van Firebase daarnaast een eigen installatiecode op het toestel (3.6).

Deze lokale opslag is nodig voor functies die u zelf gebruikt en vraagt daarom geen toestemming. De tellers voor de beoordelingsvraag dienen alleen om uw oordeel over de app te kunnen vragen zonder u te vroeg of te vaak te storen; zij blijven op uw toestel en hebben geen of geringe gevolgen voor uw privacy (artikel 11.7a Telecommunicatiewet). Niets van deze opslag wordt gebruikt om u te volgen.

Wat	Doel	Bewaarduur
Sessiecookie van het Platform	U ingelogd houden tijdens uw sessie	Tot 120 minuten na uw laatste handeling
Onthoud mij (remember_web_…)	Ingelogd blijven op dit apparaat, alleen als u bij het inloggen "Onthoud mij" aanvinkt	Tot ongeveer 400 dagen, of tot u uitlogt
Beveiligingscookie (XSRF-token)	Beschermen tegen verzoekvervalsing	Tot het einde van de sessie
Taalkeuze (brightsafe_meldtaal)	De taal onthouden die u op een publiek formulier of het medewerkersportaal koos; bevat alleen een taalcode	1 jaar
Service worker en lokale opslag in de browser (webapp)	De webapp laten werken, een melding bewaren bij een tijdelijk weggevallen verbinding, en geopende portaal- en instructiepagina's zonder verbinding kunnen herlezen	Een bewaarde melding: tot zij is verstuurd of definitief is geweigerd. Een geopende pagina: tot u haar met verbinding opent nadat de link is vervallen. In beide gevallen ook tot u de opslag van uw browser wist
Lokale opslag van de Brightsafe-app	Zonder verbinding kunnen werken en u ingelogd houden (3.6)	Tot u uitlogt, tot de app merkt dat uw werkgever u als niet actief heeft gemarkeerd of dat de omgeving van uw werkgever is opgeschort of gesloten, tot iemand anders op het toestel inlogt, of tot u de app verwijdert. Verloopt of vervalt alleen uw sleutel, of verwijdert uw werkgever u, dan blijven alleen uw profiel, de referentienummers van uw meldingen, inspecties in concept en wat nog op verzending wacht staan (3.6). Op een iPhone blijft de sleutel na het verwijderen van de app in de sleutelhanger staan, tot de app hem na een nieuwe installatie op het Platform heeft ingetrokken; hij verloopt na 90 dagen zonder gebruik
Installatiecode en tellers voor de beoordelingsvraag	Eén sleutel per toestel; de beoordelingsvraag niet te vroeg of te vaak stellen	Tot u de app verwijdert
Keuze voor het app-slot, updatemelding en "Wat is er nieuw" (vanaf app-versie 1.4.0)	Onthouden of u Face ID of vingerafdruk gebruikt, de melding over een nieuwe versie niet te vaak tonen en "Wat is er nieuw" één keer na een update tonen	Tot u de keuze wijzigt of de app verwijdert
Pushberichten en alarm in de app (vanaf app-versie 1.5.0)	Pushberichten kunnen afleveren, niet vaker dan nodig bij het Platform melden, en een alarm zonder verbinding kunnen lezen en beantwoorden	Installatiecode voor pushberichten en het moment van de uitleg: tot u de app verwijdert. Wat de app het laatst meldde en het laatste alarm: tot u uitlogt. Een nog niet verstuurd antwoord op een alarm: hoogstens 24 uur

7. Uw rechten en klachtrecht

U heeft op grond van de AVG het recht op inzage in uw persoonsgegevens, en het recht op rectificatie, verwijdering, beperking van de verwerking, overdraagbaarheid van gegevens en bezwaar tegen verwerkingen op basis van gerechtvaardigd belang. Berust een verwerking op toestemming, dan kunt u die toestemming altijd intrekken; dat tast de rechtmatigheid van de verwerking vóór de intrekking niet aan.

Staan uw gegevens in het Platform omdat een organisatie Brightsafe gebruikt? Richt uw verzoek dan aan die organisatie (uw werkgever, uw opdrachtgever of de houder van de locatie): die is verwerkingsverantwoordelijke (zie hoofdstuk 3). Wij ondersteunen haar bij de afhandeling.
Weet u niet welke organisatie het betreft? Bijvoorbeeld omdat u via een QR-code op een locatie heeft gemeld. Mail dan naar info@brightsafe.nl met de QR-code, de locatie of de datum. Wij achterhalen welke organisatie verantwoordelijk is en verwijzen u door, zonder de inhoud van uw melding met anderen te delen.
Gaat het om een verwerking waarvoor wij zelf verantwoordelijk zijn (Deel 1, bijvoorbeeld een offerteaanvraag of een supportticket, een bericht dat u vanuit de app aan Brightsafe stuurde (2.4), of de gegevens die wij van Apple en Google over de app ontvangen, 3.6)? Mail dan naar info@brightsafe.nl. Wij reageren binnen één maand na ontvangst van uw verzoek. Is een verzoek complex of ontvangen wij er veel tegelijk, dan kunnen wij die termijn met maximaal twee maanden verlengen; wij laten u dat binnen de eerste maand weten (artikel 12 lid 3 AVG). Wij kunnen u vragen zich te identificeren voordat wij een verzoek uitvoeren; wij vragen daarbij nooit meer gegevens dan nodig.

Wij nemen geen besluiten op basis van uitsluitend geautomatiseerde verwerking die rechtsgevolgen voor u hebben of u anderszins in aanmerkelijke mate treffen (artikel 22 AVG), en wij doen niet aan profilering. Ook de AI-ondersteuning neemt geen besluiten: zij doet uitsluitend een voorstel dat een mens controleert en aanpast.

Bent u niet tevreden over hoe wij met uw gegevens of met uw verzoek omgaan, dan heeft u het recht een klacht in te dienen bij de toezichthouder: de Autoriteit Persoonsgegevens (www.autoriteitpersoonsgegevens.nl). Wij stellen het op prijs als u eerst contact met ons opneemt, zodat wij het samen kunnen oplossen.

8. Contact

Brightsafe B.V., handelend onder de naam Brightsafe Oosterweezenstraat 6 C, 1823 CN Alkmaar KvK: 93515103

Algemene en privacyvragen: info@brightsafe.nl
Beheer en beveiligingsmeldingen: admin@brightsafe.nl

9. Wijzigingen van deze verklaring

Wij kunnen deze privacyverklaring aanpassen, bijvoorbeeld bij nieuwe functionaliteit, een gewijzigde subverwerker of gewijzigde wetgeving. De actuele versie staat altijd in het Platform (go.brightsafe.nl), met het versienummer en de datum bovenaan. Bij wijzigingen die wezenlijk zijn voor Klanten of betrokkenen informeren wij onze Klanten actief; wijziging van subverwerkers verloopt daarnaast volgens de procedure in de Verwerkersovereenkomst.