Bijlage 2 bij de Algemene Voorwaarden van Brightsafe Partijen / reikwijdte: Brightsafe (verwerker) en de Klant (verwerkingsverantwoordelijke); geldt voor alle persoonsgegevens die de Klant via het Platform door Brightsafe laat verwerken. Versie: 1.8, 25 oktober 2026

Partijen en considerans

Deze verwerkersovereenkomst (de "Verwerkersovereenkomst") hoort als bijlage bij de Algemene Voorwaarden van Brightsafe en wordt gesloten tussen:

Brightsafe B.V., handelend onder de naam Brightsafe, gevestigd aan de Oosterweezenstraat 6 C, 1823 CN Alkmaar, ingeschreven in het handelsregister van de Kamer van Koophandel onder nummer 93515103, hierna: "Brightsafe"; en
de onderneming die met Brightsafe een overeenkomst heeft gesloten voor het gebruik van het Platform, hierna: de "Klant".

Brightsafe en de Klant worden hierna samen ook "Partijen" genoemd.

Overwegende dat:

a. Brightsafe via https://go.brightsafe.nl (beheerdomein) en https://qr.brightsafe.nl (scan-domein voor de publieke QR-flows) het Platform levert: een multi-tenant SaaS-platform voor veiligheidsmanagement, bestaande uit kernonderdelen die altijd actief zijn (organisatie, actiemanagement, instellingen en Support), per Klant in- of uitschakelbare modules (Melden, Inspecties, Toolbox, Opleidingen, RI&E, Kennismonitor, LMRA, Materieel en Alarmering) en per Klant afneembare opties (SSO, AI-ondersteuning, WhatsApp-bundel en Enterprise-service);

b. de Klant een werkgever (bedrijf) is en het Platform zakelijk gebruikt; het Platform is niet bestemd voor consumenten;

c. de Klant bij het gebruik van het Platform persoonsgegevens invoert of laat invoeren, onder meer van zijn Medewerkers, en Brightsafe die gegevens in opdracht van de Klant verwerkt;

d. de Klant voor die gegevens verwerkingsverantwoordelijke is in de zin van de AVG en Brightsafe verwerker;

e. artikel 28 lid 3 AVG voorschrijft dat Partijen deze verwerking schriftelijk vastleggen, wat zij met deze Verwerkersovereenkomst doen;

f. Brightsafe daarnaast voor zijn eigen bedrijfsvoering persoonsgegevens verwerkt (waaronder relatiebeheer, offertes, facturatie inclusief de gebruikstellers van artikel 3.4, de afhandeling van supporttickets en het bezoek aan de website brightsafe.nl); voor die verwerkingen is Brightsafe zelf verwerkingsverantwoordelijke en die vallen buiten deze Verwerkersovereenkomst;

g. deze Verwerkersovereenkomst deel uitmaakt van de Overeenkomst tussen Partijen en wordt aanvaard door aanvaarding van de Algemene Voorwaarden; een afzonderlijke ondertekening is niet nodig, maar Partijen ondertekenen deze Verwerkersovereenkomst op verzoek van een van hen alsnog afzonderlijk.

Partijen komen het volgende overeen:

Artikel 1. Definities

Begrippen uit de AVG (zoals "persoonsgegevens", "verwerken", "betrokkene" en "verwerkingsverantwoordelijke") hebben in deze Verwerkersovereenkomst dezelfde betekenis als in de AVG. Begrippen met een hoofdletter die niet in deze Verwerkersovereenkomst zijn gedefinieerd (zoals "Klantdata", "Werkdag" en "Kantooruren"), hebben de betekenis die de Algemene Voorwaarden daaraan geven. Verder geldt:

1.1 AVG: Verordening (EU) 2016/679 (Algemene verordening gegevensbescherming).

1.2 Algemene Voorwaarden: de algemene voorwaarden van Brightsafe, waarvan deze Verwerkersovereenkomst en de SLA bijlagen zijn.

1.3 Overeenkomst: de overeenkomst tussen Brightsafe en de Klant over het gebruik van het Platform, inclusief de Algemene Voorwaarden en de bijbehorende bijlagen.

1.4 Platform: de SaaS-dienst Brightsafe op https://go.brightsafe.nl (beheerdomein) en https://qr.brightsafe.nl (scan-domein voor de publieke QR-flows), inclusief alle voor de Klant ingeschakelde modules en afgenomen opties.

1.5 Medewerker: een natuurlijke persoon die door of namens de Klant in het Platform is geregistreerd, zoals een werknemer of ingehuurde kracht van de Klant.

1.6 SLA: de service level agreement van Brightsafe, een bijlage bij de Algemene Voorwaarden.

1.7 Subverwerker: een door Brightsafe ingeschakelde derde die in opdracht van Brightsafe persoonsgegevens van de Klant verwerkt.

1.8 Datalek: een inbreuk in verband met persoonsgegevens zoals bedoeld in artikel 4 lid 12 AVG. Waar andere documenten van Brightsafe de term "inbreuk" gebruiken, is hetzelfde begrip bedoeld.

1.9 Bijlage A, Bijlage B en Bijlage C: de bijlagen bij deze Verwerkersovereenkomst (subverwerkers en overige dienstverleners, beveiligingsmaatregelen en specificatie van de verwerkingen per module).

1.10 Beheerder: de persoon of personen die de Klant aan Brightsafe heeft opgegeven als beheerder en contactpunt voor het Platform. Heeft de Klant niemand opgegeven, dan geldt de bij Brightsafe bekende beheerder van de omgeving van de Klant als Beheerder.

Artikel 2. Onderwerp, duur en einde

2.1 Deze Verwerkersovereenkomst geldt voor alle persoonsgegevens die Brightsafe in opdracht van de Klant verwerkt bij het leveren van het Platform.

2.2 Bij strijd tussen deze Verwerkersovereenkomst en de Algemene Voorwaarden gaat deze Verwerkersovereenkomst voor, maar alleen voor zover het de verwerking van persoonsgegevens betreft.

2.3 Deze Verwerkersovereenkomst duurt even lang als de Overeenkomst en kan niet los van de Overeenkomst worden opgezegd. Na het einde van de Overeenkomst blijft zij van toepassing zolang Brightsafe nog persoonsgegevens van de Klant verwerkt, waaronder in back-ups, totdat de verwijdering volgens artikel 10 is voltooid.

2.4 Verplichtingen die naar hun aard doorlopen na het einde, waaronder geheimhouding (artikel 6.4) en teruggave en verwijdering (artikel 10), blijven ook na het einde gelden.

Artikel 3. Aard en doel van de verwerking

3.1 Brightsafe verwerkt persoonsgegevens uitsluitend om het Platform aan de Klant te leveren. De verwerking bestaat uit: het opslaan, hosten en tonen van door de Klant ingevoerde gegevens; het versturen van uitnodigingen, herinneringen, aftekenverzoeken en notificaties per e-mail of, als de Klant de WhatsApp-bundel heeft afgenomen en dat kanaal kiest, via WhatsApp; het afleveren van pushberichten in de Brightsafe-app via de pushdiensten van Apple (iPhone) en Google (Android): seintjes over werk aan Medewerkers en, als de Klant de module Alarmering heeft afgenomen, alarmmeldingen, met als terugval e-mail en, met de WhatsApp-bundel, WhatsApp (Bijlage A.1 en Bijlage C.11); het automatisch vertalen van door de Klant ingevoerde teksten (meldingen, Toolbox-instructies en -vragen en de teksten van formuliersjablonen); het op verzoek van een gebruiker laten opstellen van een AI-voorstel bij een melding of van toetsvragen bij een instructiedocument, uitsluitend als de Klant de optie AI-ondersteuning heeft afgenomen en aangezet (Bijlage A.1, Anthropic); het scannen van geüploade bestanden op schadelijke software op de eigen servers van Brightsafe (Bijlage B.14); het maken van rapportages voor de Klant; het maken en bewaren van back-ups; het technisch beheer en onderhoud van het Platform, waaronder foutmonitoring; en het verlenen van ondersteuning, voor zover Brightsafe daarbij toegang heeft tot persoonsgegevens in de omgeving van de Klant (zie Bijlage C.10 voor de rolverdeling bij support).

3.2 Een gedetailleerde beschrijving van de verwerkingen per module staat in Bijlage C.

3.3 Brightsafe verwerkt de persoonsgegevens van de Klant nooit voor eigen doeleinden, verkoopt ze niet en stelt ze niet aan derden beschikbaar buiten wat deze Verwerkersovereenkomst toestaat.

3.4 Gebruikstellers voor facturatie. Voor de facturatie en voor de handhaving van de plafonds uit de Algemene Voorwaarden (artikel 6 en 10) registreert Brightsafe per Klant per kalendermaand het aantal Actieve Medewerkers (nachtelijke telling), het aantal AI-aanroepen en het aantal verzonden WhatsApp-berichten. Deze tellers bevatten uitsluitend aantallen per Klant: geen inhoud van meldingen, documenten of berichten en geen gegevens over individuele Medewerkers. Zij zijn onderdeel van de facturatie en daarmee eigen bedrijfsvoering van Brightsafe (overweging f); Brightsafe bewaart ze zolang de fiscale bewaarplicht voor de bijbehorende facturen loopt.

Artikel 4. Soorten persoonsgegevens en categorieën betrokkenen

4.1 Brightsafe verwerkt in opdracht van de Klant de volgende soorten persoonsgegevens:

a. Medewerkergegevens: naam, e-mailadres, telefoonnummer (e-mailadres en telefoonnummer worden versleuteld opgeslagen), team en functie of rol, en een profielfoto als de Medewerker die zelf in de Brightsafe-app toevoegt. De profielfoto is vrijwillig, wordt versleuteld opgeslagen, is alleen zichtbaar voor de Medewerker zelf en de beheerders van de Klant, kan door een beheerder alleen worden verwijderd, en wordt door het Platform verwijderd zodra de Klant de Medewerker als niet actief markeert; b. Opleidings- en certificaatgegevens, inclusief bewijsdocumenten (versleuteld opgeslagen); c. Meldingen en incidenten: vrije tekst, foto's, eventuele letselinformatie en gegevens over betrokken personen, voor zover de melder of de behandelaar die invult; d. LMRA-invullingen (via de Brightsafe-app op naam van de ingelogde Medewerker, met een optionele handtekening; zie Bijlage C.7), toolbox-aftekeningen (naam en tijdstip) en inspecties; e. Auditloggegevens van handelingen in het Platform (gebruiker, handeling, tijdstip); f. Accountgegevens van gebruikers van de Klant: naam, e-mailadres, versleuteld opgeslagen wachtwoord en de gegevens voor tweefactorauthenticatie (het geheim en de herstelcodes); g. Technische gegevens voor pushnotificaties: in de browser het adres van de pushdienst van de browser, uitsluitend als de gebruiker daarvoor toestemming geeft; in de Brightsafe-app (vanaf versie 1.5.0) het pushadres van het toestel (versleuteld opgeslagen, nooit geëxporteerd of gelogd), een installatiecode, het soort toestel, de versies van app en besturingssysteem, de taal, de meldingsinstellingen van het toestel en de dag (niet het tijdstip) van de laatste aanmelding, uitsluitend nadat de Medewerker in de app meldingen heeft toegestaan (zet hij ze later uit, dan blijft het toestel met die instelling staan tot een van de opruimregels van Bijlage C geldt) en het Platform er een doel voor heeft (seintjes, zodra Brightsafe die als pushbericht heeft aangezet, of de module Alarmering); h. Technische gegevens die nodig zijn om misbruik te beperken en om een sessie te beveiligen, waaronder het IP-adres van de bezoeker van een publieke flow (uitsluitend kortstondig, zie artikel 4.5) en het IP-adres en browsertype van een ingelogde gebruiker, en voor de Brightsafe-app per toestel een inlogsleutel met het soort toestel, een installatiecode, het moment van inloggen en de dag (niet het tijdstip) van het laatste gebruik; een sleutel verloopt 90 dagen na het laatste gebruik en per Medewerker bestaan er hoogstens tien; i. Noodinformatie voor de Brightsafe-app: een intern alarmnummer, de verzamelplaats, de plek van EHBO-post en AED, een vrije aanvulling, en de bedrijfshulpverleners met naam en telefoonnummer (telefoonnummers versleuteld opgeslagen), zoals de Klant die invult; zichtbaar voor alle actieve Medewerkers van de Klant met de app, ook offline op hun toestel. De Klant informeert de bedrijfshulpverleners daarover; j. Meldingsvoorkeuren van de Medewerker in de Brightsafe-app: welke berichten over toolboxen, toegewezen acties, reacties op meldingen en geplande inspecties hij wil ontvangen; k. Alarmgegevens (module Alarmering): per alarm of oefening de ontvangers (naam, versleuteld opgeslagen, team en taal), of het bericht is afgeleverd en geopend, het antwoord met tijdstip, de optionele notitie bij een hulpvraag (versleuteld opgeslagen) en afvinkingen door de bedrijfshulpverlening, en de gebruiker van de Klant die het alarm sloeg of beëindigde. Het Platform legt geen locatie of aanwezigheid vast.

4.2 Gezondheidsgegevens. Meldingen en incidenten kunnen letselinformatie bevatten en daarmee gezondheidsgegevens in de zin van artikel 9 AVG raken. De Klant is er als verwerkingsverantwoordelijke voor verantwoordelijk dat hij deze gegevens rechtmatig mag verwerken. Brightsafe behandelt alle meldinggegevens met de beveiligingsmaatregelen uit Bijlage B, waaronder versleutelde opslag van foto's en documenten en rolgebonden toegang. Ook het antwoord "ik heb hulp nodig" en de notitie daarbij in de module Alarmering kunnen gezondheidsgegevens zijn. Tijdens een noodsituatie verwerkt de Klant die om het vitale belang van de betrokkene te beschermen (artikel 9 lid 2 onder c AVG); voor het bewaren daarna geldt de vaste termijn van artikel 10.5 en Bijlage C.11.

4.3 De categorieën betrokkenen zijn:

a. Medewerkers van de Klant; b. melders in de publieke meldflow, die ook anoniem kunnen melden; c. andere personen die in een melding, inspectie of ander dossier worden genoemd (bijvoorbeeld bezoekers of medewerkers van derden); d. gebruikers en beheerders van het Platform aan de kant van de Klant.

4.4 Anoniem melden. Een melding kan volledig anoniem worden gedaan: de meldervelden zijn optioneel en het Platform dwingt nooit identificatie af. Brightsafe voegt zelf nooit identificerende gegevens toe aan een anonieme melding en herleidt een melder niet. Anonimiteit hangt wel af van wat de melder en de behandelaar invullen: een naam in vrije tekst, een herkenbaar gezicht op een foto of het vastleggen van betrokken personen kan een melding alsnog herleidbaar maken. Zie Bijlage C.1.1.

4.5 IP-adressen in de publieke flows. In de publieke flows (Melden en LMRA via QR, zonder login) gebruikt het Platform het IP-adres uitsluitend kortstondig om misbruik en overbelasting te beperken; die sleutel wordt na de vervaltermijn automatisch gewist. Het IP-adres wordt niet aan een melding of LMRA gekoppeld en niet in het dossier of de audittrail vastgelegd. Wel staat het, zoals bij elk bezoek aan het Platform, in de toegangslog van de webserver, die na circa veertien dagen automatisch uitroteert.

Artikel 5. Verwerking uitsluitend op instructie

5.1 Brightsafe verwerkt persoonsgegevens uitsluitend op basis van schriftelijke instructies van de Klant. De Overeenkomst, deze Verwerkersovereenkomst en de instellingen die de Klant in het Platform kiest (zoals het in- of uitschakelen van modules, het afnemen van opties, het inschakelen van automatisch vertalen, het aanzetten van de AI-ondersteuning en het kiezen van het WhatsApp-kanaal) gelden samen als die instructies.

5.2 Alleen als een Unierechtelijke of Nederlandse wettelijke bepaling Brightsafe tot een verwerking verplicht, mag Brightsafe buiten de instructies om verwerken. Brightsafe stelt de Klant daarvan vooraf op de hoogte, tenzij die wetgeving dit om gewichtige redenen van algemeen belang verbiedt.

5.3 Vindt Brightsafe dat een instructie in strijd is met de AVG of andere privacywetgeving, dan meldt Brightsafe dat direct aan de Klant en mag Brightsafe de uitvoering opschorten totdat Partijen er samen uit zijn.

Artikel 6. Verplichtingen van Brightsafe

6.1 Brightsafe leeft de op verwerkers rustende verplichtingen uit de AVG na en helpt de Klant om aan diens eigen verplichtingen te voldoen, zoals in deze Verwerkersovereenkomst verder uitgewerkt.

6.2 Brightsafe houdt een register bij van de verwerkingen die het voor de Klant uitvoert, zoals bedoeld in artikel 30 lid 2 AVG.

6.3 Brightsafe informeert de Klant zonder onredelijke vertraging als een bevoegde autoriteit een verzoek doet dat (mede) betrekking heeft op persoonsgegevens van de Klant, tenzij dat wettelijk verboden is.

6.4 Geheimhouding. Iedereen die onder gezag van Brightsafe toegang heeft tot persoonsgegevens van de Klant, verwerkt die alleen in opdracht van de Klant en is verplicht tot geheimhouding, op grond van een overeenkomst of een wettelijke plicht. Deze geheimhoudingsplicht blijft ook na het einde van de Overeenkomst bestaan.

6.5 Beveiliging. Brightsafe treft passende technische en organisatorische maatregelen zoals bedoeld in artikel 32 AVG. De concrete maatregelen staan in Bijlage B. Brightsafe mag deze maatregelen aanpassen aan de stand van de techniek, maar het beveiligingsniveau mag daardoor nooit lager worden dan het niveau van Bijlage B.

Artikel 7. Subverwerkers

7.1 De Klant geeft Brightsafe een algemene toestemming om Subverwerkers in te schakelen. De actuele lijst van Subverwerkers staat in Bijlage A, rubriek A.1. Dit artikel geldt uitsluitend voor Subverwerkers; op de overige dienstverleners in Bijlage A, rubriek A.2 is het niet van toepassing.

7.2 Brightsafe legt aan elke Subverwerker via een overeenkomst dezelfde verplichtingen op het gebied van gegevensbescherming op als in deze Verwerkersovereenkomst staan, in het bijzonder passende beveiligingsmaatregelen. Schiet een Subverwerker tekort, dan blijft Brightsafe tegenover de Klant volledig aansprakelijk voor het nakomen van diens verplichtingen. Voor Apple Inc. en Google (pushberichten) geldt de afwijking in artikel 13.2 onder f en g.

7.3 Wil Brightsafe een Subverwerker toevoegen of vervangen, dan kondigt Brightsafe dat ten minste 30 dagen van tevoren aan, met vermelding van de naam, het vestigingsland en het doel van de nieuwe Subverwerker. De aankondiging gebeurt per e-mail aan de Beheerder(s) van de Klant; de bezwaartermijn van artikel 7.4 begint op de dag van verzending.

7.4 De Klant kan binnen de aankondigingstermijn schriftelijk en gemotiveerd bezwaar maken tegen de wijziging. Partijen overleggen dan over een redelijke oplossing. Vinden zij die niet, dan mag de Klant de Overeenkomst opzeggen tegen de datum waarop de wijziging ingaat, zonder dat hij schadevergoeding verschuldigd is. Reeds vooruitbetaalde bedragen voor de periode na de einddatum betaalt Brightsafe terug.

Artikel 8. Bijstand bij rechten van betrokkenen en bij AVG-verplichtingen

8.1 Ontvangt Brightsafe een verzoek van een betrokkene (bijvoorbeeld om inzage, rectificatie of verwijdering), dan beantwoordt Brightsafe dat verzoek niet zelf, maar stuurt het onverwijld door naar de Klant. De Klant handelt het verzoek als verwerkingsverantwoordelijke af.

8.2 Brightsafe helpt de Klant, rekening houdend met de aard van de verwerking en voor zover redelijkerwijs mogelijk, met passende technische en organisatorische maatregelen bij het afhandelen van verzoeken van betrokkenen. Het Platform ondersteunt dit onder meer doordat de Klant de door hem ingevoerde gegevens grotendeels zelf kan inzien, corrigeren en verwijderen, en doordat hij in het Platform zelf deelexports en een volledige, machineleesbare export van de omgeving kan maken (artikel 10.1).

Twee beperkingen horen daar eerlijkheidshalve bij. Ten eerste toont het Platform enkele onderdelen alleen leesbaar; welke dat zijn en hoe de Klant die laat redigeren, staat in Bijlage C.1.1 en artikel 14.2. Ten tweede is "verwijderen" in de schermen een zachte verwijdering: het dossier verdwijnt uit de lijsten, maar de inhoud blijft in de database staan. Wil de Klant gegevens definitief laten wissen, bijvoorbeeld om een wissingsverzoek uit artikel 17 AVG te kunnen honoreren, dan verzoekt hij daarom via admin@brightsafe.nl. Brightsafe voert dat verzoek zonder onredelijke vertraging handmatig uit en legt de uitvoering vast in het activiteitenlog. Voor Meldingen geldt daarbij de beperking van Bijlage C.1.1 (opschonen betekent anonimiseren, niet verwijderen).

8.3 Brightsafe helpt de Klant, rekening houdend met de aard van de verwerking en de informatie waarover Brightsafe beschikt, bij het nakomen van diens verplichtingen uit de artikelen 32 tot en met 36 AVG (beveiliging, melden van Datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging).

Artikel 9. Melden van Datalekken

9.1 Ontdekt Brightsafe een Datalek dat (mogelijk) persoonsgegevens van de Klant raakt, dan meldt Brightsafe dit aan de Klant zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking. Onder ontdekking verstaan Partijen het moment waarop Brightsafe met redelijke zekerheid vaststelt dat zich een Datalek heeft voorgedaan of waarschijnlijk heeft voorgedaan; nader onderzoek naar oorzaak, omvang of gevolgen stelt dat moment niet uit. Dit startmoment is gelijk aan het startmoment (T0) in de datalekprocedure van Brightsafe.

9.2 De melding bevat ten minste de informatie die de Klant nodig heeft voor een melding aan de toezichthouder volgens artikel 33 lid 3 AVG: de aard van het Datalek, waar mogelijk de categorieën betrokkenen en persoonsgegevens en de aantallen (bij benadering), de waarschijnlijke gevolgen, en de maatregelen die Brightsafe heeft genomen of voorstelt. Informatie die nog niet beschikbaar is, levert Brightsafe in delen na zodra die beschikbaar komt.

9.3 De Klant beslist zelf of het Datalek wordt gemeld aan de Autoriteit Persoonsgegevens en aan betrokkenen. Brightsafe meldt een Datalek van de Klant nooit zelfstandig aan de toezichthouder of aan betrokkenen, tenzij een wettelijke plicht Brightsafe daartoe dwingt. Dwingt een wettelijke plicht Brightsafe wel tot zo'n melding, dan informeert Brightsafe de Klant daarover vooraf, of zo snel als wettelijk is toegestaan.

9.4 Brightsafe documenteert alle Datalekken, hun gevolgen en de genomen maatregelen, en werkt mee aan het onderzoek van de Klant naar een Datalek.

9.5 Meldingen van Brightsafe aan de Klant op grond van dit artikel gaan per e-mail naar de door de Klant aangewezen Beheerder(s) (artikel 1.10). Meldingen en vragen van de Klant aan Brightsafe over (vermoedelijke) Datalekken gaan naar admin@brightsafe.nl; dat is het meldkanaal voor Datalekken.

9.6 Alarmketen. De geautomatiseerde bewaking van het Platform alarmeert de eigenaar van Brightsafe als eerste ontvanger, ook buiten Kantooruren; Brightsafe hanteert daarbij een reactietijd op een alarm van 1 uur tijdens Kantooruren en 4 uur daarbuiten (SLA, hoofdstuk 5 en 6). Brightsafe zorgt voor vervanging bij geplande afwezigheid en kondigt die vooraf aan (SLA, paragraaf 5.3).

Artikel 10. Teruggave en verwijdering na het einde

10.1 Bij het einde van de Overeenkomst kan de Klant een volledige export van zijn gegevens krijgen in een machineleesbaar formaat, als versleuteld archief. De beheerder van de Klant maakt die export zelf in het Platform (Instellingen > Gegevens exporteren), ook in de alleen-lezen periode van artikel 10.2; het archief staat dan 7 dagen klaar om te downloaden. Op schriftelijk verzoek via admin@brightsafe.nl levert Brightsafe de export binnen 10 Werkdagen (gelijk aan artikel 12.1 van de Algemene Voorwaarden en paragraaf 8.1 van de SLA). Daarnaast kan de Klant zolang zijn omgeving bestaat in het Platform zelf deelexports maken (acties, RI&E-rapport en Kennismonitor-rapport). De Klant kan de volledige export maken of aanvragen tot het moment waarop de verwijdering volgens artikel 10.2 is uitgevoerd; daarna is een export niet meer mogelijk.

10.2 Na het einde van de Overeenkomst blijft de omgeving van de Klant 30 dagen alleen-lezen beschikbaar, zodat de Klant zijn gegevens kan bekijken, deelexports kan maken en de volledige export kan aanvragen (artikel 12.2 van de Algemene Voorwaarden). Daarna verwijdert Brightsafe alle persoonsgegevens van de Klant uit de productieomgeving, niet eerder dan 5 Werkdagen na levering van een tijdig aangevraagde export (artikel 10.1) en uiterlijk 40 dagen na het einde van de Overeenkomst, tenzij een wettelijke plicht langer bewaren voorschrijft. Voor een proefomgeving die niet in een betaalde Overeenkomst is omgezet, geldt een termijn van 90 dagen na het einde van de proefperiode, met waarschuwingen op dag 60 en dag 83 (artikel 12.5 van de Algemene Voorwaarden). Verwijderen is bij Brightsafe een aparte, in de audittrail vastgelegde handeling. Tot de verwijderde persoonsgegevens behoren ook de logregels van de Klant in de audittrail (artikel 10.5); alleen de vastlegging van de verwijdering zelf blijft staan. Hieronder vallen niet het datalekregister en de incidentdossiers die Brightsafe op grond van artikel 33 lid 5 AVG bijhoudt; die bewaart Brightsafe 5 jaar na afronding van het betreffende incident, beperkt tot wat voor die verantwoording en voor de verjaringstermijn van vorderingen noodzakelijk is. Voor gegevens in back-ups geldt artikel 10.3. Deze verwijdering maakt deel uit van de bredere exit-regeling voor Klantdata (alle door of namens de Klant ingevoerde gegevens, waaronder de persoonsgegevens waarop deze Verwerkersovereenkomst ziet) in de Algemene Voorwaarden en de SLA; voor persoonsgegevens is deze Verwerkersovereenkomst leidend (artikel 2.2).

10.3 Back-ups roteren na de verwijdering uit de productieomgeving automatisch uit. De bewaartermijnen zijn: uurlijkse databasedumps 48 uur lokaal en 3 dagen op beide off-site locaties; de nachtelijke volledige back-up 14 dagen lokaal en 30 dagen op beide off-site locaties (de actuele termijnen staan ook in de SLA, paragraaf 7.2, en in Bijlage B.4). De tweede off-site kopie staat ten minste 30 dagen onder een schrijf- en wisblokkade (Object Lock): in die periode kan zij niet vanaf de servers van Brightsafe of met de sleutels daarop worden gewijzigd of verwijderd, ook niet na een inbraak op de productieserver; de blokkade staat in de governance-modus van Backblaze, zodat alleen de accounthouder haar bewust kan opheffen. Op die locatie gaat een kopie pas weg als de blokkade is verlopen, en verwijdert de opslag een opgeruimde kopie definitief via een opruimregel. Uiterlijk 90 dagen na de verwijdering uit de productieomgeving zijn de persoonsgegevens van de Klant daarmee ook uit alle back-ups verdwenen. Tot dat moment gebruikt Brightsafe de gegevens in back-ups uitsluitend voor herstel na een calamiteit en voor niets anders. Zet Brightsafe na het einde van de Overeenkomst een back-up terug waarin nog persoonsgegevens van de Klant staan, dan verwijdert Brightsafe die gegevens zonder onredelijke vertraging na het herstel opnieuw.

10.4 Op schriftelijk verzoek bevestigt Brightsafe aan de Klant dat de verwijdering is uitgevoerd.

10.5 Bewaartermijnen tijdens de looptijd. Tijdens de looptijd van de Overeenkomst verwijdert of anonimiseert het Platform de inhoud die de Klant en zijn Medewerkers vastleggen, zoals meldingen, acties, aftekeningen, LMRA's, inspecties, certificaten, documenten en foto's, nooit automatisch. Automatisch verwijdert het Platform alleen:

a. de persoonlijke alarmgegevens van de module Alarmering: 30 dagen na het einde van een oefening en 365 dagen na het einde van een echt alarm, waarna alleen geaggregeerde cijfers en het logboek van het alarm blijven (Bijlage C.11). Deze termijnen liggen vast en zijn niet door de Klant te verlengen; b. technische hulpgegevens: verlopen inlogsleutels van de app met de toestelgegevens erbij (artikel 4.1 onder h; de platformbrede lijst in Bijlage C) en pushadressen van toestellen (artikel 4.1 onder g; Bijlage C.11 en de platformbrede lijst in Bijlage C); uploads die halverwege zijn afgebroken of nooit zijn opgeslagen; een klaargezette export na afloop van de downloadtermijn (de gegevens zelf blijven in het Platform); de werkgegevens van uitnodigingsrondes (per Medewerker 30 dagen na het einde van de ronde, de ronde zelf 12 maanden na het aanmaken) en van medewerkersimports (het ingelezen bestand bij afloop, de ingelezen regels 24 uur na afloop, de import zelf 12 maanden na het aanmaken), ook als de ronde of import is geannuleerd, mislukt of verworpen; en het register van AI-aanroepen voor toetsvragen, 12 maanden na afronding. Dat zijn geen bewaartermijnen voor inhoud; c. de profielfoto van een Medewerker, zodra de Klant die Medewerker als niet actief markeert (artikel 4.1 onder a); de Klant zet die verwijdering zelf in gang door die handeling; d. het oorspronkelijke bestand van een geüploade video, zodra een afspeelbare MP4-versie is opgeslagen (Bijlage B.14 en C.3); de video blijft beschikbaar in die omgezette vorm.

De Klant bepaalt als verwerkingsverantwoordelijke welke gegevens hij hoe lang bewaart en verwijdert of anonimiseert die zelf in het Platform. Op schriftelijk verzoek van de Klant voert Brightsafe een opschoning uit volgens een door de Klant opgegeven bewaartermijn; bij meldingen betekent opschonen anonimiseren en geen verwijderen, omdat de melding zelf bewijs is voor het ongevallenregister (zie Bijlage C.1.1).

Audittrail. Voor de audittrail draait geen automatische verwijdering: Brightsafe bewaart hem zolang de Overeenkomst loopt. De trail is append-only en wordt niet op verzoek gewist, omdat hij dient als controlemiddel voor de Klant zelf en voor de beveiliging van het Platform. Wel verwijdert het Platform bij elke opschoning van de inhoud op bewaartermijn die Brightsafe op schriftelijk verzoek uitvoert, voor welke klant ook, de logregels die ouder zijn dan 24 maanden; een vaste, automatische verwijdering na 24 maanden is er niet. Na het einde van de Overeenkomst verwijdert Brightsafe de logregels van de Klant volgens artikel 10.2. Een logregel van een mislukte inlogpoging bevat het ingevoerde e-mailadres maar is niet aan een klant gekoppeld; hij valt daardoor niet onder die verwijdering en blijft staan tot een opschoning hem na 24 maanden meeneemt. Append-only is in het datamodel van het Platform afgedwongen: het Platform weigert een bestaande logregel te wijzigen of te verwijderen. Daarop bestaan afgebakende uitzonderingen: het verwijderen van logregels ouder dan 24 maanden bij een opschoning op verzoek, het verwijderen van de logregels van de Klant na het einde van de Overeenkomst (artikel 10.2), en het verwijderen van persoonsgegevens ín een logregel voor zover de AVG dat verlangt (de regel zelf blijft dan staan, zodat het spoor compleet blijft). Technisch onderhoud aan de database loopt via de gecontroleerde uitrolprocedure van Bijlage B.6.

Artikel 11. Continuïteit

11.1 De Klant kan gedurende de looptijd op elk moment in het Platform zelf deelexports maken (acties, RI&E-rapport en Kennismonitor-rapport) en kan zijn beheerder zelf een volledige, machineleesbare export van de omgeving laten maken (artikel 10.1). Op verzoek levert Brightsafe die export ook, binnen 10 Werkdagen; voor een volledige export is de Klant dus niet afhankelijk van Brightsafe.

11.2 Herstel na een calamiteit. Brightsafe houdt een warme uitwijkomgeving aan in een tweede Nederlands datacenter, met doorlopende databasereplicatie. Brightsafe streeft ernaar het Platform binnen 4 uur tijdens Kantooruren weer beschikbaar te hebben (hersteldoel) en daarbij niet meer dan 1 uur aan gegevens te verliezen (maximaal gegevensverlies), op basis van de uurlijkse versleutelde off-site databasedump. In de eigen oefeningen ligt de praktijk ruim onder die waarden: een omschakeling naar de uitwijkomgeving is op 09-08-2026 via de publieke DNS-keten gemeten op 101 seconden, met bewezen terugweg, en een volledige herbouw op een verse server bij een andere leverancier is op 25-07-2026 gemeten op 11 minuten (exclusief DNS-omzetting). Die metingen zijn onder gecontroleerde omstandigheden uitgevoerd en zijn een onderbouwing, geen garantie; de contractuele afspraken over beschikbaarheid staan in de SLA.

11.3 Staakt Brightsafe de dienstverlening blijvend, dan geldt artikel 19 van de Algemene Voorwaarden: Brightsafe stelt de Klant in staat zijn gegevens veilig te stellen en werkt op verzoek van de Klant mee aan een escrow-regeling.

Artikel 12. Audits

12.1 Brightsafe stelt de Klant alle informatie ter beschikking die nodig is om aan te tonen dat Brightsafe de verplichtingen uit artikel 28 AVG en deze Verwerkersovereenkomst nakomt.

12.2 Brightsafe verstrekt daarbij op verzoek de beschikbare eigen beveiligingsdocumentatie: de rapportage van de interne beveiligingstest, de gapanalyse ISO 27001, de bijlage beveiligingsmaatregelen (Bijlage B) en het herstelrunbook. Brightsafe beschikt op dit moment niet over een rapport van een externe pentest en is niet ISO 27001-gecertificeerd. Laat Brightsafe een externe beveiligingstest uitvoeren, dan stelt zij de samenvatting daarvan op verzoek beschikbaar. Beantwoorden die informatie en rapportages de vragen van de Klant afdoende, dan blijft een audit op locatie achterwege.

12.3 Is de Klant van oordeel dat de op grond van artikel 12.1 en 12.2 verstrekte informatie zijn vragen niet afdoende beantwoordt, dan mag hij, zelf of via een onafhankelijke auditor, een audit (laten) uitvoeren. Brightsafe werkt daaraan mee onder de volgende redelijke voorwaarden:

a. de audit wordt ten minste 30 dagen van tevoren schriftelijk aangekondigd, behalve na een Datalek of op aanwijzing van een toezichthouder; b. de audit vindt maximaal één keer per twaalf maanden plaats, behalve na een Datalek of op aanwijzing van een toezichthouder; c. de audit vindt plaats op Werkdagen tijdens Kantooruren en verstoort de dienstverlening zo min mogelijk; d. de auditor krijgt nooit toegang tot gegevens van andere klanten van Brightsafe; het Platform is multi-tenant en de tenant-isolatie (Bijlage B) blijft ook tijdens een audit intact; e. de auditor tekent vooraf een geheimhoudingsverklaring; f. de redelijke kosten van Brightsafe voor medewerking aan de audit, boven het verstrekken van de informatie bedoeld in artikel 12.1 en 12.2, komen voor rekening van de Klant, tenzij uit de audit een materiële tekortkoming van Brightsafe blijkt; in dat geval draagt Brightsafe de eigen kosten. Brightsafe begroot die kosten vooraf schriftelijk, zodat de Klant weet waar hij aan toe is. De kosten van de eigen auditor van de Klant blijven altijd voor rekening van de Klant.

12.4 Partijen bespreken de bevindingen van een audit samen. Brightsafe voert redelijke, uit de audit voortvloeiende verbeteringen door.

Artikel 13. Doorgiften buiten de EER

13.1 Uitgangspunt is dat Brightsafe persoonsgegevens van de Klant opslaat en verwerkt binnen de Europese Economische Ruimte (EER). De productie-, staging- en demo-omgevingen draaien bij TransIP in datacenters in Nederland; het technisch beheer daarvan voert Brightsafe zelf uit, vanuit Nederland.

13.2 In de volgende gevallen vindt (mogelijk) doorgifte naar een land buiten de EER plaats; deze staan ook in Bijlage A:

a. Backblaze Inc. (Verenigde Staten): tweede off-site back-up (B2, privébucket, versleuteld). Backblaze Inc. is gecertificeerd onder het EU-VS Data Privacy Framework (inclusief de UK- en Zwitserse extensie). Als aanvullende waarborg zijn de back-upgegevens vóór en tijdens opslag versleuteld met een sleutel die uitsluitend bij Brightsafe berust; Backblaze kan de inhoud niet lezen. De opslag staat ten minste 30 dagen onder een schrijf- en wisblokkade (Object Lock, governance-modus; zie artikel 10.3).

b. Cloudflare, Inc. (VS/EU): Cloudflare levert de DNS voor de domeinen van het Platform en staat sinds 17 augustus 2026 als proxy (CDN, WAF- en DDoS-schild) vóór het beheerdomein go.brightsafe.nl. Cloudflare ziet daarmee het beheerverkeer in doorvoer (TLS-terminatie aan zijn edge, versleuteld door naar de servers van Brightsafe) en slaat geen Klantdata op, afgezien van een cache van statische bestanden. Het scan-domein qr.brightsafe.nl met de publieke QR-flows, waaronder de anonieme meldingen, loopt niet via Cloudflare. Doorgifte op grond van het EU-VS Data Privacy Framework (Cloudflare is gecertificeerd) en de Data Processing Addendum van Cloudflare met standaardcontractbepalingen als terugval; zie Bijlage A.1.

c. 360dialog GmbH met Meta/WhatsApp (Duitsland/VS): WhatsApp-berichten (uitnodigingen, herinneringen, aftekenverzoeken en het welkomstbericht bij de ingebruikname van de omgeving) voor de modules Kennismonitor en Toolbox; hierbij worden de naam en het telefoonnummer van Medewerkers verwerkt. Verzending vindt uitsluitend plaats als de Klant de optie WhatsApp-bundel heeft afgenomen en het WhatsApp-kanaal kiest; is het maandelijkse plafond van de bundel bereikt, dan gaan de resterende berichten per e-mail. De verwerking loopt via 360dialog GmbH (Duitsland) als Subverwerker, op basis van een verwerkersovereenkomst met Brightsafe. 360dialog gebruikt daarvoor de WhatsApp Business-dienst van Meta Platforms Ireland Ltd; doorgifte aan Meta Platforms, Inc. in de Verenigde Staten vindt plaats onder de door Meta gehanteerde waarborgen (EU-VS Data Privacy Framework en standaardcontractbepalingen). Meta verwerkt een deel van deze gegevens als zelfstandig verwerkingsverantwoordelijke onder haar eigen WhatsApp Business-voorwaarden.

d. Sentry (Functional Software, Inc., Verenigde Staten; verwerking in de EU-regio, Duitsland): foutmonitoring van de productieomgeving. De gegevens worden verwerkt en opgeslagen in de Europese regio van Sentry (Frankfurt/Duitsland); voor de reguliere dienstverlening vindt dus geen doorgifte buiten de EER plaats. Zie Bijlage A.1 voor wat Sentry ontvangt.

e. Anthropic, PBC (Verenigde Staten): AI-ondersteuning; alleen als de Klant de optie AI-ondersteuning heeft afgenomen, die per bedrijf aanzet en de gebruiker op de AI-knop drukt; per kalendermaand geldt een plafond op het aantal aanroepen (Algemene Voorwaarden, artikel 6.5). Meldingtekst en foto (zonder EXIF/GPS) resp. het toolbox-document gaan dan naar de API van Anthropic in de Verenigde Staten. Waarborg: EU-VS Data Privacy Framework (Anthropic is gecertificeerd) en het Data Processing Addendum van Anthropic met standaardcontractbepalingen als terugval; invoer wordt niet gebruikt om modellen te trainen. Vertrouwelijke meldingen gaan nooit langs de AI. Zodra de EU-route (dezelfde modellen via Google Vertex AI in de EU-regio) beschikbaar is, schakelt Brightsafe daarop over en informeert zij de Klant via artikel 7.

f. Apple Inc. (Verenigde Staten): aflevering van pushberichten op iPhones met de Brightsafe-app (Apple Push Notification service), vanaf app-versie 1.5.0: seintjes over werk en, als de Klant de module Alarmering gebruikt, alarmmeldingen. Grondslag: het EU-VS Data Privacy Framework (Apple Inc. is gecertificeerd). Een seintje bevat alleen een vaste titel en verwijzingsnummers, zonder inhoud of namen; een alarmmelding bevat geen namen van personen en geen gezondheidsgegevens. Op Apple en Google zijn hun eigen standaardvoorwaarden van toepassing (bij Apple de voorwaarden van het Apple Developer Program, bij Google de Firebase Data Processing and Security Terms); daarover kan Brightsafe niet onderhandelen. Die voorwaarden bevatten de waarborgen van artikel 28 lid 3 AVG, maar wijken af van artikel 7.2 en 12 van deze Verwerkersovereenkomst, onder meer bij het recht op een audit en bij het inschakelen van hun eigen subverwerkers. De Klant stemt daarmee in door deze Verwerkersovereenkomst te aanvaarden. Brightsafe zet pushberichten pas aan nadat zij die voorwaarden heeft aanvaard en in haar leveranciersdossier heeft vastgelegd.

g. Google Ireland Limited / Google LLC (Ierland / Verenigde Staten): hetzelfde voor Android-toestellen (Firebase Cloud Messaging). Grondslag: de Firebase Data Processing and Security Terms met de standaardcontractbepalingen, en het EU-VS Data Privacy Framework (Google LLC is gecertificeerd). Inhoud van de berichten en de afwijking van artikel 7.2 en 12 als onder f.

13.3 Brightsafe zorgt ervoor dat elke doorgifte buiten de EER voldoet aan hoofdstuk V AVG: op basis van een adequaatheidsbesluit (zoals het DPF voor daaronder gecertificeerde Amerikaanse ontvangers) of passende waarborgen zoals SCC's, waar nodig met aanvullende maatregelen. Zonder zo'n grondslag vindt geen doorgifte plaats.

Artikel 14. Verplichtingen van de Klant

14.1 De Klant staat er als verwerkingsverantwoordelijke voor in dat hij voor elke verwerking via het Platform een geldige grondslag heeft, dat zijn instructies aan Brightsafe rechtmatig zijn en dat hij betrokkenen informeert zoals de AVG voorschrijft.

14.2 De Klant voert geen bijzondere categorieën persoonsgegevens in het Platform in buiten wat voor het doel van een module nodig is (zoals letselinformatie in een melding), en gaat zorgvuldig om met vrije tekstvelden en foto's. De Klant kent de beperking bij het anonimiseren van meldingen zoals beschreven in Bijlage C.1.1 en redigeert waar nodig de velden die het Platform hem laat bewerken. Voor onderdelen die niet via de schermen te bewerken zijn, kan de Klant een verzoek indienen bij Brightsafe via admin@brightsafe.nl; Brightsafe voert dat zonder onredelijke vertraging uit.

14.3 De Klant beheert zelf de toegangsrechten van zijn gebruikers in het Platform en houdt die actueel.

14.4 Ontdekt de Klant een (vermoedelijk) Datalek, een beveiligingsincident of een kwetsbaarheid die het Platform raakt, dan meldt de Klant dit zonder onredelijke vertraging aan Brightsafe via admin@brightsafe.nl. Dit geldt ook als het incident alleen de eigen omgeving van de Klant lijkt te raken: het Platform is multi-tenant en een zwakte kan ook andere klanten raken.

Artikel 15. Aansprakelijkheid

15.1 Voor aansprakelijkheid onder deze Verwerkersovereenkomst geldt de aansprakelijkheidsregeling uit de Algemene Voorwaarden, inclusief de daarin opgenomen beperkingen en uitsluitingen.

15.2 Tegenover betrokkenen geldt de aansprakelijkheidsregeling van artikel 82 AVG, inclusief de daarin opgenomen hoofdelijkheid. In de onderlinge verhouding tussen Partijen draagt iedere partij de schade die is veroorzaakt door haar eigen schending van de AVG of van deze Verwerkersovereenkomst; heeft een partij aan een betrokkene meer vergoed dan met haar aandeel overeenkomt, dan heeft zij voor het meerdere verhaal op de andere partij (artikel 82 lid 5 AVG).

Artikel 16. Slotbepalingen

16.1 Wijzigingen van deze Verwerkersovereenkomst zijn alleen geldig als ze schriftelijk zijn vastgelegd. Wijzigt Brightsafe deze Verwerkersovereenkomst via een wijziging van de Algemene Voorwaarden, dan kondigt Brightsafe die wijziging ten minste 30 dagen vooraf per e-mail aan bij de Beheerder(s) van de Klant; verlaagt de wijziging het beschermingsniveau voor de Klant, dan is de bezwaar- en opzeggingsregeling van artikel 7.4 van overeenkomstige toepassing. Voor wijziging van Bijlage A, rubriek A.1 (Subverwerkers) geldt uitsluitend de procedure van artikel 7.

16.2 Is een bepaling van deze Verwerkersovereenkomst ongeldig, dan blijven de overige bepalingen gelden. Partijen vervangen de ongeldige bepaling door een geldige die de bedoeling zo dicht mogelijk benadert.

16.3 Op deze Verwerkersovereenkomst zijn hetzelfde recht en dezelfde forumkeuze van toepassing als in de Algemene Voorwaarden bepaald.

16.4 Vragen over deze Verwerkersovereenkomst of over privacy kunnen naar info@brightsafe.nl (algemeen) of admin@brightsafe.nl (beheer).

Bijlage A. Subverwerkers en overige dienstverleners

Deze bijlage hoort bij de Verwerkersovereenkomst van Brightsafe (artikel 7 en artikel 13).

Versie A-1.7, 18 oktober 2026. Wijzigingen in rubriek A.1 verlopen volgens artikel 7. Apple Inc. en Google zijn in deze versie toegevoegd, voor alle Klanten; voor hen geldt artikel 13.2 onder f en g, ook voor de afwijking van artikel 7.2 en 12.

A.1 Subverwerkers

De partijen in deze rubriek verwerken in opdracht van Brightsafe persoonsgegevens van de Klant. Wijzigingen in deze rubriek worden aangekondigd volgens artikel 7.3 en 7.4.

Subverwerker	Vestigingsland	Doel	Categorieën gegevens en bijzonderheden
TransIP B.V.	Nederland	VPS-hosting (productie, staging, demo) en STACK off-site back-up	Alle Klantdata, voor zover die op de servers en in de back-ups staat. Datacenters in Nederland; de back-up wordt vóór upload client-side versleuteld
Backblaze Inc.	Verenigde Staten	Tweede off-site back-up (B2), met een schrijf- en wisblokkade (Object Lock) van ten minste 30 dagen	Alle Klantdata in versleutelde back-upbestanden; Backblaze kan de inhoud niet lezen en de bestanden kunnen ten minste 30 dagen niet vanaf de servers van Brightsafe worden gewijzigd of verwijderd (artikel 10.3). DPF-gecertificeerd (incl. UK- en Zwitserse extensie); zie artikel 13.2 onder a, inclusief het openstaande punt over de opslagregio
Brevo (Sendinblue SAS)	Frankrijk (EU)	Transactionele e-mail (smtp-relay.brevo.com, en voor de terugvalmail van Alarmering de transactionele API, api.brevo.com)	Naam en e-mailadres van geadresseerden en de inhoud van het bericht
Sentry (Functional Software, Inc.)	Verenigde Staten; verwerking in de EU-regio (Duitsland)	Foutmonitoring van het Platform, en performancemeting voor zover die is ingeschakeld	Ontvangt sinds 09-08-2026 technische foutgegevens uit de productieomgeving: foutmeldingen, stacktraces, URL's en technische context. Alleen de productieomgeving rapporteert. Persoonsgegevens staan uit (`send_default_pii=false`) en de request-body en cookies worden vóór verzending verwijderd, evenals geheim-achtige sleutels; toch kunnen incidenteel persoonsgegevens in een fouttekst of een URL-segment meekomen. Zie artikel 13.2 onder d
Cloudflare, Inc.	Verenigde Staten (edge-netwerk wereldwijd, waaronder de EU)	DNS voor de domeinen van het Platform en, sinds 17-08-2026, proxy (CDN, WAF- en DDoS-schild) vóór het beheerdomein `go.brightsafe.nl`: de panelen, de registratie en alles wat een login vraagt	Al het beheerverkeer in doorvoer: Cloudflare termineert de TLS-verbinding aan zijn edge en stuurt het verkeer versleuteld door naar de servers van Brightsafe ("Full (strict)"). Daarmee kan Cloudflare inloggegevens, sessiecookies en de persoonsgegevens zien die gebruikers van de Klant invoeren of opvragen. Geen opslag van Klantdata (alleen cache van statische bestanden). Het scan-domein `qr.brightsafe.nl` (publieke QR-flows: melden, LMRA, toolbox, portaal, dus ook anonieme meldingen) loopt niet via Cloudflare (DNS-only). Doorgifte op grond van het EU-VS Data Privacy Framework (Cloudflare is gecertificeerd) en de Data Processing Addendum van Cloudflare met standaardcontractbepalingen als terugval. Toegevoegd als verwerker 17-08-2026 (besluit eigenaar; DPIA §10.4)
360dialog GmbH (met Meta Platforms Ireland Ltd)	Duitsland / Ierland / VS	WhatsApp-berichten voor de modules Kennismonitor en Toolbox en bij de ingebruikname van de omgeving: uitnodigingen, herinneringen, aftekenverzoeken en het welkomstbericht; alleen als de Klant de optie WhatsApp-bundel heeft afgenomen en dit kanaal kiest; bij een vol maandplafond gaan de berichten per e-mail	Naam en telefoonnummer van Medewerkers en de inhoud van het bericht. Doorgifte aan Meta Platforms, Inc. (VS) onder de door Meta gehanteerde waarborgen; Meta verwerkt een deel als zelfstandig verwerkingsverantwoordelijke (zie artikel 13.2 onder c). Met de module Alarmering ook de terugvalmelding bij een alarm, zonder namen van personen; die telt niet mee voor het maandelijkse aantal berichten van de bundel
DeepL SE	Duitsland (EU)	Automatische vertaling van door de Klant ingevoerde teksten	Meldingen (omschrijving, genomen maatregelen, locatie-omschrijving en vrije antwoorden op het meldformulier), Toolbox-instructies en -vragen en de teksten van formuliersjablonen. Die teksten kunnen persoonsgegevens en in voorkomend geval letselinformatie bevatten. Vertaling vindt alleen plaats als vertalen voor de Klant is ingeschakeld; de oorspronkelijke tekst blijft in het Platform bewaard
Anthropic, PBC	Verenigde Staten	AI-ondersteuning (voorstel voor een melding, behandelvoorstel voor de veiligheidskundige, toetsvragen uit een toolbox-document); uitsluitend als de Klant de optie AI-ondersteuning heeft afgenomen, de AI-hulp aanzet (per-bedrijf-schakelaar, standaard uit) én de gebruiker op de AI-knop drukt; per kalendermaand geldt een plafond op het aantal aanroepen	Meldingtekst en foto (zonder EXIF/GPS, verkleind) resp. het toolbox-document; kan persoonsgegevens en letselinformatie bevatten. Vertrouwelijke meldingen gaan nooit langs de AI. Doorgifte op grond van het EU-VS Data Privacy Framework (Anthropic is gecertificeerd) en het Data Processing Addendum van Anthropic; invoer wordt niet gebruikt om modellen te trainen en hoogstens 30 dagen bewaard voor misbruikdetectie. Toegevoegd 17-08-2026 (besluit eigenaar).
Apple Inc. (Apple Push Notification service)	Verenigde Staten (wereldwijde infrastructuur)	Aflevering van pushberichten op iPhones met de Brightsafe-app (vanaf app-versie 1.5.0): seintjes over werk aan Medewerkers van elke Klant, en alarmmeldingen als de Klant de module Alarmering gebruikt	Het pushadres van het toestel en het bericht. Een seintje: alleen een korte vaste titel en een vaste zin in de taal van de Medewerker, en verwijzingsnummers (soort, nummer van de toolbox, actie, melding of inspectie, en het nummer van de Klant in het Platform); geen inhoud en geen namen. Een alarmmelding: of het een alarm of oefening is, wat er aan de hand is, de instructie, de naam van de Klant (in de ondertitel van elke melding), de locatie, de verzamelplaats en een sleutel die alleen voor dat alarm en die ontvanger geldt; geen namen van personen, geen notities. Brightsafe laat Apple een bericht hoogstens zo lang proberen af te leveren: een seintje 24 uur, een alarmmelding 1 uur (een eindbericht 24 uur); daarna levert Apple het niet meer af. Doorgifte: artikel 13.2 onder f. Toegevoegd in versie A-1.7 (besluit eigenaar 18-10-2026)
Google Ireland Limited / Google LLC (Firebase Cloud Messaging)	Ierland / Verenigde Staten (wereldwijde infrastructuur)	Aflevering van pushberichten op Android-toestellen met de Brightsafe-app, als bij Apple	Het pushadres (FCM-token, met de Firebase-installatiecode op het toestel) en het bericht, als bij Apple; geen namen van personen, geen notities. Bewaartermijn van een bericht als bij Apple; de Firebase-installatiecode bij de app op het toestel bewaart Google volgens zijn eigen voorwaarden (Brightsafe laat hem op dit moment niet zelf verwijderen), na verwijdering nog hoogstens 180 dagen in back-ups. Doorgifte: artikel 13.2 onder g. Toegevoegd in versie A-1.7 (besluit eigenaar 18-10-2026)

A.2 Overige dienstverleners (geen Subverwerkers, opgenomen voor transparantie)

De partijen in deze rubriek verwerken geen persoonsgegevens van de Klant in opdracht van Brightsafe en zijn daarom geen Subverwerkers. Artikel 7 (aankondiging, bezwaar en opzegging) is op deze rubriek niet van toepassing.

Dienstverlener	Vestigingsland	Doel	Waarom geen Subverwerker
Mollie B.V.	Nederland	Betalingen van de Klant aan Brightsafe via iDEAL en SEPA-incasso (maandcontracten uitsluitend via Mollie; jaarcontracten via Mollie of op factuur)	Facturatie is eigen bedrijfsvoering van Brightsafe (overweging f van de considerans); Mollie is als betaaldienstverlener bovendien zelfstandig verwerkingsverantwoordelijke. Mollie ontvangt de bedrijfsnaam, het contact-e-mailadres en het factuurbedrag; Brightsafe bewaart geen kaart- of rekeninggegevens, alleen Mollie-referenties (waaronder de mandaatreferentie)
Google Ireland Ltd / Microsoft Ireland (Microsoft Entra ID)	Ierland (EU)	Inloggen via SSO (OpenID Connect), uitsluitend als de Klant de optie SSO heeft afgenomen en daarvoor kiest (alleen authenticatie)	Google of Microsoft treedt bij SSO op als identity provider van de Klant, niet in opdracht van Brightsafe; het Platform ontvangt alleen de identiteitsclaims (e-mailadres, naam, organisatiesleutel) en maakt geen accounts automatisch aan
UptimeRobot	Malta	Uptimebewaking	Verwerkt geen persoonsgegevens van klanten (alleen URL's en statussen)
Pushdienst van de browserleverancier (Google, Apple of Mozilla)	Wisselend, afhankelijk van de browser van de gebruiker	Aflevering van pushnotificaties op het apparaat van de gebruiker, alleen als die daarvoor toestemming geeft	De pushdienst ontvangt een technisch apparaatadres; de inhoud van het bericht is versleuteld en voor de pushdienst niet leesbaar. De dienst handelt niet in opdracht van Brightsafe, maar levert een functie van de browser van de gebruiker

Bijlage B. Beveiligingsmaatregelen

Deze bijlage hoort bij de Verwerkersovereenkomst van Brightsafe (artikel 6.5) en beschrijft de technische en organisatorische maatregelen zoals bedoeld in artikel 32 AVG. Voor de bewuste beperking bij het anonimiseren van meldingen (de omschrijving van het incident en de bijlagen blijven staan) geldt de transparantieverklaring in Bijlage C.1.1.

B.1 Toegangsbeveiliging en autorisatie

Multi-tenant isolatie op databaseniveau, afgedwongen met fail-closed global scopes en aangetoond met een aparte, per module uitgebreide isolatietestsuite: gegevens van de ene klant zijn technisch onbereikbaar voor de andere.
Autorisatie via policies en een rollen- en permissiemodel per klant.
Tweefactorauthenticatie is verplicht op het platformbeheer (/admin), zonder uitzonderingen.
In het klantpaneel is tweefactorauthenticatie vanaf 1 november 2026 verplicht voor iedere gebruiker die de omgeving van de Klant kan inrichten (gebruikers, rollen, modules en bedrijfsinstellingen beheren). Voor de andere gebruikers is zij beschikbaar en kan de Klant haar verplicht stellen. Zij kan worden overgeslagen in twee gevallen: voor een demonstratieaccount dat Brightsafe uitdrukkelijk heeft uitgezonderd, en als de gebruiker inlogt via SSO die de Klant afdwingt, zodat de tweefactorcontrole bij de eigen identity provider van de Klant ligt.
Servertoegang via SSH uitsluitend met sleutels (geen wachtwoorden).
Beheertoegang tot server en database is voorbehouden aan Brightsafe en beperkt tot beheer, onderhoud en storingsoplossing.

B.2 Versleuteling

Versleuteling in transit: TLS/HTTPS op alle verbindingen (certificaten via Let's Encrypt).
Versleuteling at rest voor documenten, foto's, instructievideo's en -PDF's en contactgegevens (Laravel encrypted casts / Crypt met de applicatiesleutel), en voor de pushadressen van toestellen en de namen en notities in de module Alarmering. Een pushadres komt nooit in een export of logregel.
Downloads van documenten en foto's uitsluitend via tijdelijke signed URLs, achter een autorisatie-policy.

B.3 Logging en controleerbaarheid

Append-only audittrail van handelingen in het Platform, inclusief permissiewijzigingen en tenantwissels door platformbeheer; het datamodel weigert een bestaande regel te wijzigen of te verwijderen, op de afgebakende uitzonderingen van artikel 10.5 na.
Inlogpogingen, uitloggen, mislukte inlogpogingen en wachtwoordresets worden vastgelegd; bij een mislukte poging bewust zonder IP-adres.
Op de audittrail draait geen automatische bewaartermijn: Brightsafe bewaart hem zolang de Overeenkomst loopt, logregels ouder dan 24 maanden verwijdert het Platform alleen bij een opschoning van de inhoud op verzoek, en na het einde van de Overeenkomst verwijdert Brightsafe de logregels van de Klant (artikel 10.2 en 10.5). Op de alarmgegevens van de module Alarmering geldt een vaste termijn van 30 dagen na een oefening en 365 dagen na een echt alarm (artikel 10.5, Bijlage C.11). Daarbuiten verwijdert het Platform tijdens de looptijd alleen de technische hulpgegevens, de profielfoto bij niet actief en het video-origineel van artikel 10.5; inhoud wordt opgeschoond op verzoek van de Klant en volgens een door hem opgegeven bewaartermijn.

B.4 Back-up en herstel

Dagelijkse volledige back-up (database plus versleutelde documenten) en elk uur een databasedump.
Twee off-site kopieën: TransIP STACK (client-side versleuteld vóór upload, met een apart wachtwoord) en Backblaze B2 (privébucket, encryptie ingeschakeld, Object Lock van ten minste 30 dagen, zodat een back-up in die periode niet vanaf de servers van Brightsafe of met de sleutels daarop worden gewijzigd of verwijderd, ook niet na een inbraak op de productieserver; de blokkade staat in de governance-modus van Backblaze, zodat alleen de accounthouder haar bewust kan opheffen). Versleuteling met AES-256.
Bewaartermijnen: uurlijkse databasedumps 48 uur lokaal en 3 dagen op beide off-site locaties; de nachtelijke volledige back-up 14 dagen lokaal en 30 dagen op beide off-site locaties. Op Backblaze gaat een kopie pas weg na de blokkade en een opruimregel van de opslag; uiterlijk 90 dagen nadat een back-up is gemaakt, is hij daar verdwenen (artikel 10.3).
Terugzetproef aantoonbaar uitgevoerd op 25-07-2026: herstel uit de off-site back-up en een volledige herbouw op een verse server bij een andere leverancier, met een gemeten totaaltijd van 11 minuten (exclusief DNS-omzetting), vastgelegd in het herstelrunbook. Brightsafe herhaalt de proef periodiek en na wezenlijke wijzigingen in de uitrol- of herstelprocedure, en toont de meest recente datum op verzoek aan.
Omschakeling naar de warme uitwijkomgeving is op 09-08-2026 via de publieke DNS-keten gemeten op 101 seconden, met bewezen terugweg. Zie artikel 11.2 voor het hersteldoel en het maximale gegevensverlies.

B.5 Scheiding van omgevingen

Gescheiden staging- en demo-omgeving met uitsluitend fictieve data. Echte Klantdata verlaat de productieomgeving niet, met één uitzondering: bij de periodieke terugzetproef (B.4) wordt een echte back-up teruggezet op een tijdelijke server binnen de EER, die na afloop volledig wordt gewist en verwijderd.

B.6 Wijzigingsbeheer

Uitrolprocedure met automatische back-up vooraf en zelfcontrole na afloop.
Alle wijzigingen lopen via versiebeheer (GitHub, privé); wijzigingsbeheer is daarmee aantoonbaar.

B.7 Monitoring en alarmering

Externe uptimebewaking (UptimeRobot) op het meetpunt https://go.brightsafe.nl/up en op de publieke routes.
Dagelijkse schijfruimtebewaking en dagelijkse back-upcontrole met alarmering.
Alarmketen: alle geautomatiseerde bewaking alarmeert per e-mail naar het alarmpostvak van Brightsafe (beheer@brightsafe.nl), met de eigenaar als eerste ontvanger (pushmelding op de telefoon). Reactietijd op een alarm: 1 uur tijdens Kantooruren, 4 uur daarbuiten. Het meldkanaal voor Klanten en derden blijft admin@brightsafe.nl (artikel 9.5).
De geplande beveiligingscontroles en de foutmonitoring staan in B.10; samen vormen die het actuele detectiemiddelenpakket.

B.8 Netwerkbeveiliging

Dubbele firewall: de TransIP VPS-firewall én ufw op de server zelf.

B.9 Veilige ontwikkeling en kwetsbaarhedenbeheer

Elke wijziging die naar de hoofdlijn gaat of via een pull request wordt aangeboden, doorloopt automatisch een codestijlcontrole, statische analyse op het hoogste niveau, een controle op bekende kwetsbaarheden in de gebruikte afhankelijkheden en de volledige geautomatiseerde testsuite.
Onderdeel daarvan is een aparte tenant-isolatiesuite die per model aantoont dat de ene klant niets van de andere kan lezen, wijzigen of verwijderen, en die automatisch faalt zodra een nieuw tenant-gebonden model geen isolatiedekking heeft.
Afhankelijkheden worden automatisch en periodiek op updates gecontroleerd, met wekelijkse updatevoorstellen.
Dit is tevens de procedure voor het regelmatig testen, beoordelen en evalueren van de doeltreffendheid van de maatregelen, zoals bedoeld in artikel 32 lid 1 sub d AVG.

B.10 Beveiligingsmonitoring

Foutmonitoring van de productieomgeving met persoonsgegevens uitgeschakeld en met een filter dat de request-body, cookies en geheim-achtige sleutels vóór verzending verwijdert (zie Bijlage A.1, Sentry).
Vijf geplande controles: verlopende TLS-certificaten, achterstand in de verwerkingswachtrij, tenant-isolatie (dagelijks), een encryptiecanary die controleert of versleutelde velden versleuteld blijven, en een hartslagcontrole. Alarmering per e-mail.

B.11 Continuïteit en herstelvermogen

Warme uitwijkomgeving in een tweede Nederlands datacenter met doorlopende databasereplicatie.
Uitrol zonder onderbreking (releasemap met atomaire omschakeling) met automatische terugrol bij een mislukte uitrol.
Zie B.4 en artikel 11.2 voor de gemeten hersteltijden.

B.12 Beveiligingsheaders

Strikte HTTP-beveiligingsheaders: een Content Security Policy, HSTS in productie, frame-ancestors 'none', object-src 'none', base-uri en form-action beperkt tot de eigen herkomst, X-Frame-Options DENY, X-Content-Type-Options nosniff, een strikt verwijzingsbeleid en een beperkend rechtenbeleid voor browserfuncties.
Eén pagina wijkt daarvan af: de afspeelpagina waarmee de Brightsafe-app een YouTube-video toont. Die pagina mag alleen in de app worden ingesloten (frame-ancestors beperkt tot de app), heeft een eigen Content Security Policy die niets anders toestaat dan de speler van youtube-nocookie.com, start geen sessie, zet geen cookies, bevat geen scripts en werkt alleen met een geldige ondertekende link van hoogstens 60 minuten.
Toelichting in het belang van eerlijkheid: de Content Security Policy staat op dit moment nog inline scripts en eval toe, omdat het Platform op onderdelen afhankelijk is van bibliotheken die dat vereisen. De CSP is dus een gelaagde maatregel en geen sluitende blokkade van cross-site scripting; Brightsafe werkt aan verdere aanscherping.

B.13 Incidenten

Brightsafe hanteert een vastgelegde datalekprocedure met vaste termijnen en een vast startmoment (artikel 9), met vervanging bij geplande afwezigheid (SLA, paragraaf 5.3).

B.14 Bestandsuploads

Elk geüpload bestand (documenten, foto's, importbestanden, instructiedocumenten) wordt bij ontvangst op de servers van Brightsafe gescand op schadelijke software (ClamAV), zowel op de productieserver als op de uitwijkomgeving. Een besmet bestand wordt geweigerd en niet opgeslagen. De scan is fail-closed: is de scanner niet beschikbaar, dan wordt de upload geweigerd in plaats van ongescand doorgelaten. De scan draait lokaal; er gaat voor de scan geen bestand naar een derde.
Uploads worden bovendien gecontroleerd op bestandstype en -grootte; foto's worden ontdaan van locatiegegevens (EXIF/GPS).
Een profielfoto van een Medewerker wordt na de scan altijd opnieuw gecodeerd naar een vierkante JPEG van 512×512 beeldpunten, waardoor alle metadata (waaronder EXIF/GPS) verdwijnt; hij is alleen te zien via een kort geldige ondertekende link achter een autorisatie-policy en een tenantcontrole.
Een geüploade instructievideo die nog niet op elke telefoon afspeelt, wordt na de scan op de servers van Brightsafe omgezet naar MP4 (H.264/AAC): alleen beeld en geluid gaan mee, algemene metadata (zoals een opnamelocatie) valt weg, en de omgezette video wordt weer versleuteld opgeslagen. Is de video al een MP4 die overal afspeelt, dan blijft het bestand ongewijzigd, met de metadata die erin staat. Het omzetten gebeurt in een afgeschermde, tijdelijke werkmap die daarna altijd wordt gewist; het versleutelde origineel wordt verwijderd zodra de toolbox en haar versies naar de MP4 verwijzen. Er gaat daarvoor geen bestand naar een derde.

Bijlage C. Specificatie van de verwerkingen per module

Deze bijlage hoort bij de Verwerkersovereenkomst van Brightsafe (artikel 3.2). Modules staan per Klant aan of uit; een uitgeschakelde module verwerkt niets.

Platform-breed geldt, ongeacht welke modules aanstaan:

de kernmodules Organisatie (Medewerkers, teams en locaties), Actiemanagement, Instellingen en Support; die zijn niet uitschakelbaar;
gebruikers- en beheerdersaccounts van de Klant, inclusief de gegevens voor tweefactorauthenticatie (artikel 4.1 onder f);
de vrijwillige profielfoto van een Medewerker, als die hem zelf in de Brightsafe-app toevoegt (artikel 4.1 onder a);
de noodinformatie voor de Brightsafe-app en de meldingsvoorkeuren van Medewerkers (artikel 4.1 onder i en j);
de append-only auditlog (gebruiker, handeling, tijdstip), bewaard zolang de Overeenkomst loopt, zonder automatische bewaartermijn (artikel 10.5);
de inlogsleutels van de Brightsafe-app per toestel (artikel 4.1 onder h): een sleutel verloopt 90 dagen na het laatste gebruik, het Platform verwijdert verlopen sleutels met de toestelgegevens erbij elke nacht, en per Medewerker bestaan er hoogstens tien;
pushnotificaties op het apparaat van de gebruiker, alleen met diens toestemming (artikel 4.1 onder g en Bijlage A.2);
pushberichten in de Brightsafe-app (vanaf versie 1.5.0), alleen als de Medewerker meldingen toestaat: de seintjes over toolboxen, acties, reacties op meldingen en geplande inspecties gaan als pushbericht via Apple of Google (Bijlage A.1) in plaats van per e-mail, met alleen een vaste titel en verwijzingsnummers, zonder inhoud of namen; neemt Apple of Google het bericht niet aan, dan per e-mail. Daarvoor bewaart het Platform het pushadres en de toestelgegevens van artikel 4.1 onder g bij elke Klant die het Platform gebruikt (proef of actief), zodra Brightsafe de seintjes als pushbericht heeft aangezet. Het pushadres verdwijnt bij uitloggen, bij het intrekken van de toegang (niet actief, uitloggen op alle toestellen, verwijderverzoek), 60 dagen nadat het toestel zich voor het laatst aanmeldde, 7 dagen nadat Apple of Google het ongeldig verklaarde, en 30 dagen nadat er geen doel meer voor is;
transactionele e-mail via Brevo en foutmonitoring van de productieomgeving via Sentry (Bijlage A.1);
hosting bij TransIP (Bijlage A.1);
de gebruikstellers voor facturatie (artikel 3.4): uitsluitend aantallen per Klant per kalendermaand.

Heeft de Klant de optie SSO afgenomen en kiest hij voor SSO-inloggen, dan treedt Google Ireland Ltd of Microsoft Ireland (Microsoft Entra ID) op als identity provider van de Klant en verwerkt uitsluitend de authenticatie (Bijlage A, rubriek A.2). Heeft de Klant de optie AI-ondersteuning afgenomen en aangezet, dan gaan op knopdruk van een gebruiker de in C.1 en C.3 genoemde gegevens naar Anthropic, PBC (Bijlage A.1 en artikel 13.2 onder e). Heeft de Klant de optie WhatsApp-bundel afgenomen, dan kan hij voor de modules Kennismonitor en Toolbox het WhatsApp-kanaal kiezen (C.3 en C.6).

C.1 Melden

Doel: het registreren en behandelen van incidenten en meldingen, ook via een publieke QR-flow zonder login en zonder app.
Persoonsgegevens: vrije tekst van de melding, naam en contactgegevens van de melder (optioneel), foto's, eventuele letselinformatie (kan gezondheidsgegevens raken, zie artikel 4.2) en gegevens over betrokken personen, voor zover de melder of de behandelaar die invult. Als de Klant automatisch vertalen heeft ingeschakeld, worden de omschrijving, de genomen maatregelen, de locatie-omschrijving en de vrije antwoorden op het meldformulier aangeboden aan DeepL SE (zie Bijlage A.1); de oorspronkelijke tekst blijft in het Platform bewaard. Heeft de Klant de optie AI-ondersteuning afgenomen en aangezet, dan gaan op knopdruk van de melder of de behandelaar de meldtekst, de genomen maatregelen en de foto (verkleind, zonder EXIF/GPS) naar Anthropic, PBC voor een voorstel dat de gebruiker controleert; vertrouwelijke meldingen gaan nooit langs de AI (Bijlage A.1 en artikel 13.2 onder e).
Betrokkenen: melders (ook anoniem), Medewerkers en andere in een melding genoemde personen.
Waarborgen: een melding kan volledig anoniem worden gedaan en Brightsafe herleidt een melder niet (artikel 4.4); in de publieke flow wordt het IP-adres uitsluitend kortstondig gebruikt om misbruik te beperken en niet aan de melding gekoppeld; alleen de toegangslog van de webserver bevat het, circa veertien dagen (artikel 4.5); foto's en documenten staan versleuteld opgeslagen; ook de titel, de omschrijving, de meldergegevens, de aard van het letsel en het aantal verzuimdagen staan versleuteld in de database; toegang is rolgebonden en vertrouwelijke meldingen kennen een extra slot.

C.1.1 Anonimiseren van meldingen: wat er gebeurt en wat blijft staan (transparantieverklaring)

Een melding wordt nooit hard verwijderd: zij is bewijs voor de Arbeidsinspectie en voor het ongevallenregister uit de Arbowet. Opschonen betekent daarom anonimiseren.

Er is geen anonimiseerknop in het Platform. Anonimiseren gebeurt niet automatisch en de Klant kan het zelf niet aanzetten: het opschoningscommando staat bewust niet in de planning en slaat bedrijven zonder uitdrukkelijke opdracht over. De Klant vraagt een opschoning schriftelijk aan bij Brightsafe met opgave van de bewaartermijn (artikel 10.5); Brightsafe voert die dan uit.

Wat het Platform bij een opschoning wist of vervangt: de naam, het telefoonnummer, het e-mailadres en de organisatie van de melder; de door de melder geüploade foto; alle vrije antwoorden op het meldformulier, inclusief de onvertaalde bron daarvan; de afhandelnotitie van de behandelaar; de inhoud van alle logboekregels bij de melding; de naam, het telefoonnummer en de toelichting van betrokkenen en getuigen; en het e-mailadres van de ontvanger in doorstuurregels in de audittrail.

Wat bewust blijft staan: de omschrijving en de aard van het incident, de risicoscore, het onderzoek, de gekoppelde acties en de bijlagen (rapporten, verklaringen en overige documenten). Die inhoud kan indirect herleidbaar zijn: een naam in de lopende tekst of een herkenbaar gezicht op een bijlage. Brightsafe schoont die inhoud bewust niet automatisch, omdat automatisch schonen de veiligheidskundige waarde van het incidentdossier vernietigt en de wettelijke bewaarplicht voor het bewijsmateriaal langer kan lopen dan de eigen bewaartermijn.

Wat de Klant zelf kan: de titel, de omschrijving, de genomen maatregelen, de locatie-omschrijving, de meldergegevens, de letselgegevens, de afhandelnotitie, de bijlagen en de betrokkenen zijn in het meldingscherm te bewerken of te verwijderen; daar kan de Klant zelf redigeren.

Wat de Klant níét zelf kan. Vier onderdelen toont het Platform alleen leesbaar: de vrije antwoorden op het eigen meldformulier, de onvertaalde bronversies van de vertaalde tekstvelden, de foto die de melder bij een publieke melding meestuurde, en de logboekregels bij een melding. De logboekregels zijn bewust append-only, omdat een aantekening die achteraf te herschrijven is niets meer zegt over wat er op dat moment bekend was; hetzelfde geldt voor de audittrail. Voor de andere drie is het ontbreken van een bewerk- of verwijderactie een beperking van het Platform, geen bewuste waarborg; Brightsafe bouwt die actie alsnog. Zolang zij er niet is, kan de Klant voor al deze onderdelen een verzoek indienen bij Brightsafe via admin@brightsafe.nl, dat het zonder onredelijke vertraging uitvoert (artikel 14.2). Aan de redactieplicht van artikel 14.2 kan de Klant voor deze onderdelen dus niet zelfstandig voldoen.

Mitigerende maatregelen: toegang tot meldingen is rolgebonden; vertrouwelijke meldingen kennen een extra slot; alle handelingen staan in de append-only audittrail; foto's, documenten en de gevoelige tekstvelden zijn versleuteld opgeslagen.

C.2 Inspecties

Doel: het uitvoeren en vastleggen van werkplekinspecties.
Persoonsgegevens: gegevens van de uitvoerende Medewerker en de inhoud van de inspectie, inclusief eventuele foto's (versleuteld opgeslagen).
Betrokkenen: Medewerkers; eventueel andere personen die in een inspectie worden genoemd.

C.3 Toolbox

Doel: het verspreiden van veiligheidsinstructies en het laten aftekenen daarvan via een persoonlijke link, met uitnodigingen, herinneringen en aftekenverzoeken per e-mail of, alleen als de Klant de optie WhatsApp-bundel heeft afgenomen en dat kanaal kiest, via WhatsApp (via 360dialog GmbH met Meta/WhatsApp, zie Bijlage A.1 en artikel 13.2 onder c).
Persoonsgegevens: naam en e-mailadres van de Medewerker voor de persoonlijke link; het telefoonnummer van de Medewerker als de Klant het WhatsApp-kanaal gebruikt; aftekeningen (naam en tijdstip). De teksten van instructies en vragen kunnen voor automatische vertaling worden aangeboden aan DeepL SE, als vertalen voor de Klant is ingeschakeld (zie Bijlage A.1). Heeft de Klant de optie AI-ondersteuning afgenomen en aangezet, dan kan de auteur van een toolbox het geüploade instructiedocument op knopdruk aan Anthropic, PBC laten aanbieden voor een voorstel van toetsvragen (Toolbox-AI); het document bevat doorgaans geen persoonsgegevens, maar kan die bevatten als de Klant ze erin heeft opgenomen.
Video: een geüploade instructievideo die nog niet overal afspeelt, wordt op de servers van Brightsafe omgezet naar MP4 (Bijlage B.14).
Externe video op instructie van de Klant: zet de Klant bij een toolbox een videolink naar YouTube of Vimeo, dan speelt de Brightsafe-app die video af in de ingebouwde speler van dat platform (youtube-nocookie.com, via een afspeelpagina van het Platform, of Vimeo met "do not track"). Het toestel van de Medewerker maakt daarbij zelf verbinding met Google of Vimeo, die als zelfstandig verwerkingsverantwoordelijke onder meer het IP-adres, toestel- en kijkgegevens ontvangen. Brightsafe geeft alleen het video-id mee en geen gegevens over de Medewerker. De Klant kiest de video en het platform en is verantwoordelijk voor de rechtmatigheid daarvan; Google en Vimeo zijn geen Subverwerker en Brightsafe sluit met hen geen subverwerkersovereenkomst. Wil de Klant die gegevensstroom niet, dan uploadt hij de video als bestand.
Betrokkenen: Medewerkers; externe deelnemers die de Klant een instructie laat aftekenen.

C.4 Opleidingen

Doel: het bijhouden van een certificaatregister met opleidings- en certificaatgegevens.
Persoonsgegevens: opleidings- en certificaatgegevens van Medewerkers, inclusief bewijsdocumenten (versleuteld opgeslagen). Een Medewerker kan zijn eigen bewijsdocument in de Brightsafe-app bekijken, alleen met verbinding; de app slaat het niet op het toestel op.
Betrokkenen: Medewerkers.

C.5 RI&E

Doel: het opstellen en bijhouden van de risico-inventarisatie en -evaluatie van de Klant.
Persoonsgegevens: in beginsel beperkt; persoonsgegevens komen alleen voor zover de Klant die zelf in documenten, bevindingen of acties vastlegt. Documenten staan versleuteld opgeslagen.
Betrokkenen: Medewerkers, voor zover door de Klant genoemd.

C.6 Kennismonitor

Doel: een periodieke kennis- en cultuurmeting onder Medewerkers, met uitnodigingen en herinneringen per e-mail of, alleen als de Klant de optie WhatsApp-bundel heeft afgenomen en dat kanaal kiest, via WhatsApp (via 360dialog GmbH met Meta/WhatsApp, zie Bijlage A.1 en artikel 13.2 onder c).
Persoonsgegevens: naam en e-mailadres of telefoonnummer van de Medewerker, uitsluitend voor de uitnodiging en de deelnameregistratie.
Betrokkenen: Medewerkers.
Waarborg: antwoorden zijn technisch niet herleidbaar tot een individuele Medewerker. De antwoordtabel bevat geen medewerker-ID en geen uitnodigings-ID; deelname en inhoud zijn technisch van elkaar gescheiden.

C.7 LMRA

Doel: het uitvoeren van een laatste-minuut-risicoanalyse via een QR-code, zonder login en zonder app, of in de Brightsafe-app.
Persoonsgegevens: de LMRA-invullingen. Via de QR-code optioneel met een zelf ingevulde naam; via de Brightsafe-app altijd op naam van de ingelogde Medewerker, met een koppeling aan zijn medewerkersrecord, een optionele handtekening (versleuteld opgeslagen) en het moment van invullen op het toestel. Bij een door de Klant ingestelde bewaartermijn en bij een verwijderverzoek worden naam, koppeling en handtekening gewist; de invulling zelf blijft. In de publieke flow wordt het IP-adres uitsluitend kortstondig gebruikt om misbruik en overbelasting te beperken en niet aan een LMRA gekoppeld; alleen de toegangslog van de webserver bevat het, circa veertien dagen (artikel 4.5).
Betrokkenen: Medewerkers en andere personen die op een locatie van de Klant een LMRA invullen.

C.8 Actiemanagement

Doel: het beheren en opvolgen van acties die uit de andere modules voortkomen.
Persoonsgegevens: de toegewezen Medewerker, de inhoud en status van de actie en eventuele bewijsfoto's (versleuteld opgeslagen).
Betrokkenen: Medewerkers.

C.9 Materieel

Doel: het beheren van arbeidsmiddelen, keuringen, defecten en onderhoud.
Persoonsgegevens: naam van de uitvoerende of verantwoordelijke Medewerker bij een keuring, defectmelding, meterstand of onderhoudsorder, de inhoud van de melding of bevinding, en keuringsdocumenten en foto's (versleuteld opgeslagen). De melder van een defect kan ook als vrij ingetypte naam worden vastgelegd.
Doorgifte op instructie van de Klant: stelt de Klant een uitgaande koppeling (webhook) in, dan stuurt het Platform op zijn instructie gebeurtenissen uit deze module door naar het door hem opgegeven adres. De Klant bepaalt de ontvanger en is verantwoordelijk voor de rechtmatigheid van die doorgifte; Brightsafe is daarvoor geen ontvanger en sluit voor die ontvanger geen subverwerkersovereenkomst.
Betrokkenen: Medewerkers en eventuele externe keurmeesters of monteurs die de Klant vastlegt.

C.10 Support (kernonderdeel)

Doel: het indienen en afhandelen van supporttickets door gebruikers van de Klant. Support is sinds 19 augustus 2026 een kernonderdeel dat voor iedere Klant actief is.
Rolverdeling: voor de ticketadministratie (naam, contactgegevens, inhoud en afhandeling van het ticket) is Brightsafe verwerkingsverantwoordelijke (zie overweging f van de considerans); die verwerking valt buiten deze Verwerkersovereenkomst. Krijgt Brightsafe bij de afhandeling van een ticket toegang tot persoonsgegevens in de omgeving van de Klant, dan handelt Brightsafe daarbij als verwerker en is deze Verwerkersovereenkomst onverkort van toepassing (artikel 3.1).
Berichten uit de Brightsafe-app: een Medewerker kan vanuit de app een probleem aan Brightsafe melden. Zo'n bericht (onderwerp, tekst, account, app-versie, platform en toesteltype) is alleen voor Brightsafe: het staat niet in het ticketoverzicht, het logboek of de gegevensexport van de Klant, en de Klant krijgt er geen bericht over. Voor die berichten is Brightsafe verwerkingsverantwoordelijke, zoals voor de ticketadministratie hierboven; ook hier geldt dat Brightsafe als verwerker handelt voor zover de afhandeling toegang tot de omgeving van de Klant vraagt.
Betrokkenen: gebruikers van de Klant die een ticket indienen; Medewerkers die vanuit de app een bericht sturen; eventueel personen die in de inhoud van een ticket worden genoemd.

C.11 Alarmering

Doel: Medewerkers bij een noodsituatie of oefening waarschuwen met wat er aan de hand is en naar welke verzamelplaats zij moeten, en zien wie veilig is en wie hulp nodig heeft. Uitsluitend noodafhandeling en de evaluatie daarvan (oefenverslag, logboek). Een alarm is altijd een besluit van een bevoegde van de Klant in het Platform; er zijn geen automatische triggers.
Persoonsgegevens: per alarm of oefening de naam (versleuteld), het team en de taal van elke ontvanger, of het bericht is afgeleverd en geopend, het antwoord met tijdstip, de optionele notitie bij een hulpvraag (versleuteld), afvinkingen door de bedrijfshulpverlening en de naam van wie het alarm sloeg of beëindigde (alleen zichtbaar voor gebruikers van de Klant, nooit voor Medewerkers). Per toestel het pushadres (versleuteld) en de technische gegevens die nodig zijn om de melding af te leveren en de bereikbaarheid te tonen (artikel 4.1 onder g). Geen locatie- of aanwezigheidsgegevens.
Bijzondere persoonsgegevens: "ik heb hulp nodig" en de notitie daarbij kunnen letsel betreffen (artikel 4.2).
Ontvangers: de bevoegde gebruikers van de Klant (statusbord en appèl; zij zien ook of een Medewerker via de app bereikbaar is en kunnen een proefmelding sturen); de Subverwerkers Apple en Google (alleen de melding, zonder namen van personen); Brevo en, met de WhatsApp-bundel, 360dialog/Meta voor de terugval. Heeft een gebruiker van de Klant browsermeldingen in het Platform aan, of een Medewerker eerder browsermeldingen van het medewerkersportaal toegestaan, dan gaat een melding over het alarm ook via de pushdienst van diens browser (artikel 4.1 onder g; end-to-end versleuteld, zodat die pushdienst de inhoud niet kan lezen); de melding aan gebruikers van de Klant noemt wie het alarm sloeg.
Inhoud van een melding: Brightsafe neemt geen namen van personen op. De tekst van het alarm en de namen van locaties en verzamelplaatsen kiest de Klant; hij neemt daarin geen namen van personen op.
Bewaartermijn: de persoonlijke alarmgegevens verwijdert het Platform automatisch 30 dagen na het einde van een oefening en 365 dagen na het einde van een echt alarm (artikel 10.5). Daarna blijven alleen geaggregeerde cijfers (aantallen per antwoord en reactietijd) en het logboek van het alarm (berichten zonder toelichting, met de naam van wie het alarm sloeg of beëindigde, en het oefenverslag), zonder namen van ontvangers. Pushadressen volgen de platformbrede regels hierboven.
Medezeggenschap: de Klant bepaalt of het gebruik onder het instemmingsrecht van de ondernemingsraad valt (artikel 27 lid 1 onder d en k WOR); Brightsafe levert daarvoor een notitie.
Betrokkenen: Medewerkers van de Klant, en gebruikers van de Klant die een alarm slaan of afhandelen.