Privacybeleid

1. Inleiding

WayTime ("wij", "ons") biedt een software-as-a-service (SaaS) oplossing aan die organisaties helpt bij het visualiseren van afspraken en locaties vanuit Microsoft Outlook. Wij hechten grote waarde aan de privacy van onze gebruikers en de bescherming van hun persoonsgegevens conform de Algemene Verordening Gegevensbescherming (AVG / GDPR). WayTime is geregistreerd bij de Kamer van Koophandel onder nummer 42046423, gevestigd te Van Dongenstraat 1, 8107AD Broekland, Nederland.

De rol van WayTime verschilt per verwerking. Voor accountbeheer, facturatie, support, beveiliging, websitebeheer en wettelijke verplichtingen treedt WayTime in beginsel op als verwerkingsverantwoordelijke. Voor agenda-, locatie- en teamdata die binnen de dienst namens een klantorganisatie worden verwerkt, treedt WayTime in beginsel op als verwerker. Voor dat laatste geldt aanvullend onze verwerkersovereenkomst.

2. Welke gegevens wij verwerken

Om onze diensten aan te bieden, verwerken wij de volgende categorieën gegevens:

• Accountgegevens: Naam, zakelijk e-mailadres, organisatienaam en rol binnen het systeem.
• Microsoft Azure AD Gegevens: Uniek User ID, encrypted toegangstokens (OAuth2) voor synchronisatie.
• Agenda-informatie: Onderwerp (subject) van de afspraak, tijdstip, locatieomschrijving, de eerste regels van de afspraakomschrijving en de daaruit afgeleide geografische coördinaten (latitude/longitude). Van afspraken die in Outlook als privé zijn gemarkeerd bewaren wij alleen de tijden, zonder onderwerp, omschrijving of locatie.
• Planningsgegevens: Het startadres en de werktijden die een medewerker zelf instelt, en locaties (waypoints) die je organisatie op de kaart zet.
• Gegevens van klanten via boekingslinks: Wanneer een klant zelf een afspraak boekt via een boekingslink van je organisatie: naam, e-mailadres, (optioneel) telefoonnummer, adres van de afspraak en een eventuele opmerking. Deze gegevens komen in de Outlook-afspraak van de medewerker die de afspraak krijgt, en de klant ontvangt via Outlook een uitnodiging als bevestiging.
• Inloggen met een code: Wie inlogt met een code per e-mail, krijgt die code via onze e-maildienst (Resend). Wij bewaren de code alleen versleuteld (als hash), hij is 10 minuten geldig en wordt na een dag verwijderd.
• Gebruiksinstellingen: Voorkeuren zoals de "Zichtbaarheid op kaart" (Ghost Mode) status.
• Supportgegevens: Berichten die je verstuurt via de supportchat, inclusief ticketmetadata (prioriteit, status en categorie) wanneer escalatie nodig is.
• Betalingsgegevens: Facturatiegegevens verwerkt door Stripe. Wij slaan zelf geen creditcard- of bankgegevens op.

3. Microsoft Graph API — gevraagde rechten

WayTime maakt gebruik van Microsoft Azure AD en de Microsoft Graph API voor authenticatie en agenda-synchronisatie. Wij vragen de volgende OAuth2-machtigingen (scopes):

• openid, profile, email: Voor identificatie en inloggen via je Microsoft account.
• Calendars.Read: Lezen van je Outlook-agenda. Dit vragen we bij het inloggen.
• Calendars.Read.Shared (optioneel): Alleen als je zelf agenda's van collega's laat meelezen en daar toestemming voor geeft op je profielpagina. WayTime leest dan de afspraken uit de agenda's die je zelf kiest, en verder niets.
• Calendars.ReadWrite (optioneel): Alleen als je daar zelf toestemming voor geeft via "Toestemming geven" op je profielpagina. WayTime zet dan nieuwe afspraken in je agenda wanneer jij of een collega binnen je organisatie een afspraak inplant, of wanneer een klant via een boekingslink van je organisatie een afspraak maakt. Bestaande afspraken in je agenda worden door WayTime nooit aangepast of verwijderd. Geef je geen toestemming, dan blijft WayTime alleen lezen.
• offline_access: Zodat wij op de achtergrond agenda's kunnen synchroniseren zonder dat je telkens opnieuw hoeft in te loggen.

Wij vragen nooit toegang tot e-mailinhoud, bestanden of andere Microsoft-diensten. Je kunt de toegang op elk moment intrekken via myapps.microsoft.com of je Microsoft account-instellingen.

4. Grondslag en Doeleinden

Per doel staat hieronder welke gegevens wij gebruiken en op welke grondslag uit Art. 6 lid 1 AVG.

Bij verwerking op grond van gerechtvaardigd belang kun je bezwaar maken (zie artikel 9). Wij gebruiken gegevens niet voor andere doelen dan hierboven, en verkopen ze niet.

AI-verwerking via OpenAI wordt uitsluitend ingezet voor supportdoeleinden (triage, taalherkenning en conceptantwoorden in de supportflow), niet voor algemene monitoring van medewerkers of commerciële profilering.

5. Geautomatiseerde besluitvorming

WayTime neemt geen besluiten op basis van uitsluitend geautomatiseerde verwerking die aanzienlijke gevolgen hebben voor betrokkenen. Er is dus geen sprake van profilering of geautomatiseerde besluitvorming als bedoeld in Art. 22 AVG. AI-functionaliteit binnen de dienst (zoals triage in de supportchat) heeft uitsluitend een ondersteunende rol; een medewerker is altijd betrokken bij beslissingen die gevolgen hebben voor personen.

6. Beveiliging van Gegevens

Wij nemen beveiliging uiterst serieus en hebben de volgende maatregelen geïmplementeerd:

• Encryptie: Microsoft-tokens en de onderwerpen, omschrijvingen en locaties van afspraken worden versleuteld (AES-256-GCM) opgeslagen in onze database.
• Misbruikbescherming: Openbare onderdelen, zoals de boekingspagina, zijn beschermd met limieten per IP-adres en per boekingslink.
• TLS-beveiliging: Alle datacommunicatie tussen de browser en onze servers verloopt via versleutelde HTTPS-verbindingen.
• Data Minimalisatie: Wij lezen enkel de noodzakelijke agendavelden uit. De inhoud van e-mails of bijlagen wordt nooit opgehaald of ingezien.
• Toegangsbeheer: Gegevens zijn strikt gescheiden per organisatie (multi-tenancy). Gebruikers kunnen enkel data binnen hun eigen organisatie inzien.

7. Bewaartermijnen (Data Retention)

• Agenda-data: Afspraken (met locatie en coördinaten) worden uiterlijk 3 maanden na het einde van de afspraak automatisch verwijderd. De afspraak zelf blijft gewoon in Outlook staan.
• Technische logs: Worden na 3 maanden automatisch verwijderd.
• Uitnodigingen: Niet geaccepteerde uitnodigingen voor teamleden vervallen na 7 dagen.
• Tokens: Authenticatietokens worden versleuteld bewaard zolang dit nodig is voor de koppeling met Microsoft; bij ongeldige of ingetrokken tokens worden deze in de applicatie opgeschoond.
• Na opzegging of een verlopen proefperiode: WayTime stopt direct met het ophalen van agenda-data. 3 maanden na het einde van het abonnement of de proefperiode worden gebruikers, tokens, afspraken, boekingslinks, waypoints en logs automatisch verwijderd en wordt de organisatie geanonimiseerd. Alleen factuurgegevens bewaren wij langer, vanwege de wettelijke (fiscale) bewaarplicht van 7 jaar. Supporttickets worden 1 jaar bewaard. Back-ups van de database kunnen gegevens nog beperkt bevatten totdat deze volgens de vaste back-upcyclus worden overschreven.

8. Externe dienstverleners en ontvangers

WayTime maakt gebruik van de volgende externe partijen voor de levering, beveiliging, ondersteuning en facturatie van de dienst:

Waar wettelijk vereist en passend bij de rolverdeling zijn met deze partijen verwerkersovereenkomsten, standaardcontractbepalingen of vergelijkbare contractuele waarborgen gesloten.

De routelijnen op de kaart worden berekend met een routeserver die WayTime zelf beheert, of, zolang die niet is ingeschakeld, als rechte lijn in je eigen browser. Er gaan daarvoor geen locaties naar openbare routediensten.

9. Rechten van Gebruikers

Conform de AVG heb je recht op:

• Inzage in de gegevens die wij van je verwerken.
• Correctie van onjuiste gegevens.
• Verwijdering van je gegevens ("Recht om vergeten te worden").
• Beperking van de verwerking (bijvoorbeeld via de "Ghost Mode" schakelaar in de app).
• Bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.
• Dataportabiliteit: een export van je gegevens opvragen.

Je kunt deze rechten uitoefenen door een e-mail te sturen naar info@waytime.nl. Wij reageren binnen 30 dagen. Heb je een klacht? Dan kun je ook terecht bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.

10. Foutregistratie en performance monitoring (Sentry)

WayTime kan gebruikmaken van Sentry (Functional Software Inc., VS) voor het opsporen van technische fouten en het bewaken van de prestaties van de applicatie. In de huidige standaardconfiguratie gebruiken wij Sentry uitsluitend voor foutregistratie en performance tracing; sessie-opnames worden niet ingezet.

• Foutmeldingen en stack traces: Technische informatie over fouten in de applicatie, inclusief de pagina waarop de fout optrad en relevante toestandsinformatie.
• Performance tracing: Meting van technische prestatiegegevens zoals URL-paden, laadtijden en foutmomenten, voor zover dit voor troubleshooting en kwaliteitsbewaking noodzakelijk is.

Grondslag: gerechtvaardigd belang (verbetering van de dienst en afhandeling van technische incidenten). Gegevens worden verwerkt conform de DPA met Sentry. Sentry is gecertificeerd onder het EU-US Data Privacy Framework. Je kunt bezwaar maken tegen deze verwerking via info@waytime.nl.

11. Cookies

De verplichting om toestemming te vragen voor cookies vloeit voort uit de Telecommunicatiewet Art. 11.7a (niet de AVG). De AVG is van toepassing op de verdere verwerking van persoonsgegevens die via cookies worden verzameld.

WayTime gebruikt strikt noodzakelijke cookies voor authenticatie en beveiliging:

• Sessie-cookies: Voor het ingelogd houden na Microsoft-authenticatie. Vereist voor de werking van de dienst.
• CSRF-tokens: Voor beveiliging tegen cross-site request forgery.
• Stripe-cookies op de betaalpagina: Wanneer je een abonnement afsluit, plaatst Stripe cookies om de betaling te verwerken en fraude te voorkomen. Deze zijn noodzakelijk voor de betaling en worden alleen op de betaalpagina geplaatst.
• Lokale voorkeuren in de browser: Bijvoorbeeld het onthouden dat de cookiemelding is gesloten. Deze voorkeur wordt in localStorage bewaard en is geen advertentie- of trackingcookie.

Wij plaatsen geen advertentiecookies of marketingcookies. Voor strikt noodzakelijke cookies is geen toestemming vereist op grond van de Telecommunicatiewet. Indien in de toekomst optionele analytics- of marketingcookies worden toegevoegd, zullen wij daarvoor voorafgaande toestemming vragen.

12. Contact

Voor vragen over dit privacybeleid of het uitoefenen van je rechten kun je contact opnemen via: