PRIVACYVERKLARING — COMPLI PLATFORM

Voor arbeidskrachten en bezoekers.

Over deze privacyverklaring

Compli biedt een online platform dat hoofdaannemers en hun ketenpartners helpt te voldoen aan wet- en regelgeving met betrekking tot externe arbeidskrachten en aanwezigheid op projectlocaties. Deze privacyverklaring legt uit welke persoonsgegevens via het Compli-platform worden verwerkt, waarom dit gebeurt, wie hiervoor verantwoordelijk is en welke rechten u heeft. Deze privacyverklaring is bedoeld voor drie groepen personen wiens gegevens in het Compli-platform worden verwerkt:

Arbeidskrachten in de keten

Werknemers van een hoofdaannemer of een onderaannemer die werken op een project waar ketenaansprakelijkheid van toepassing is.

Bezoekers van projectlocaties

Personen die geen werknemer zijn van een hoofd- of onderaannemer, maar die wel een projectlocatie bezoeken (zoals inspecteurs, leveranciers, gasten of vertegenwoordigers van de opdrachtgever).

Arbeidskrachten van nevenaannemers

Personen die op een projectlocatie werken op basis van een dienstverband bij een organisatie die geen deel uitmaakt van de keten, maar voor wie desondanks veiligheids- en kwalificatie-eisen gelden.

Hieronder vindt u wat per situatie van toepassing is. Algemene informatie (over Geofencing, beveiliging, subverwerkers, uw rechten en contact) staat onderaan en is van toepassing op alle drie de groepen.

Wie is verantwoordelijk voor uw gegevens

Onder de Algemene Verordening Gegevensbescherming (AVG) is er altijd één partij die de verwerkingsverantwoordelijke is voor uw gegevens. Dit is de partij die bepaalt waarom en hoe uw gegevens worden verwerkt. Compli is in alle gevallen de verwerker. Wij voeren de verwerking uit volgens de instructies van de verwerkingsverantwoordelijke en op basis van een verwerkersovereenkomst.

Situatie

Verwerkingsverantwoordelijke

Rol van Compli

U bent een arbeidskracht in de keten

Uw werkgever (the hoofdaannemer of de onderaannemer die u heeft geregistreerd)

Verwerker

U bent een bezoeker op een projectlocatie

De hoofdaannemer van het project (Klant van Compli)

Verwerker

U bent een werknemer van een nevenaannemer

De hoofdaannemer van het project (Klant van Compli)

Verwerker

Wilt u precies weten wie uw verwerkingsverantwoordelijke is in een specifieke situatie? Vraag het aan de persoon die u heeft uitgenodigd of geregistreerd in Compli, of stuur een e-mail naar privacy@compli.nl.

A. Als u een arbeidskracht in de keten bent

Welke gegevens verwerken wij over u?

·       Naam

·       Bedrijfsnaam van uw werkgever

·       Mobiel telefoonnummer

·       E-mailadres

·       Woonadres

·       Verblijfadres (indien afwijkend van uw woonadres)

·       Burgerservicenummer (BSN)

·       Gegevens van uw identiteitsbewijs (type, documentnummer, vervaldatum, geboortedatum, foto)

·       Kopie van uw identiteitsbewijs

·       Kopie van uw verblijfsvergunning, tewerkstellingsvergunning, WagwEU-melding, A1-verklaring, of

Certificate of Coverage — indien van toepassing

·       Kopieën van vakbekwaamheids-, veiligheids- en examenbewijzen

·       Datum en tijdstip van uw check-in en check-out op een projectlocatie

·       Locatiegegevens van uw mobiele apparaat op het moment van check-in en check-out (zie het gedeelte over Geofencing hieronder)

Waarom verwerken wij deze gegevens?

De wet verplicht uw werkgever en de hoofdaannemer in de keten om bij te houden wie waar en wanneer werkt, en of die persoon daartoe gerechtigd is. Compli ondersteunt dit technisch. Relevante wettelijke verplichtingen zijn onder meer de Wet ketenaansprakelijkheid (Wka), de Wet inlenersaansprakelijkheid (Wia), de Wet arbeid vreemdelingen (Wav), de Wet aanpak schijnconstructies (WAS), de Wet arbeidsvoorwaarden gedetacheerde werknemers in de EU (WagwEU), de Wet allocatie arbeidskrachten door intermediairs (Waadi), de Wet deregulering beoordeling arbeidsrelaties (Wet DBA), de Wet minimumloon en minimumvakantiebijslag (WML) en de Arbeidsomstandighedenwet (Arbowet).

Daarnaast wordt uw aanwezigheid op het project geregistreerd ten behoeve van de veiligheid op de projectlocatie.

Op welke wettelijke basis?

Artikel 6 lid 1 sub c AVG (wettelijke verplichting) en Artikel 6 lid 1 sub f AVG (gerechtvaardigd belang van uw werkgever en van de hoofdaannemer in de keten bij het bijhouden van aanwezigheid en kwalificaties).

Hoe lang bewaren we deze gegevens?

In overeenstemming met de wettelijke fiscale bewaartermijnen: tot zeven jaar na het einde van het belastingjaar waarop de gegevens betrekking hebben. Een kortere termijn is toegestaan als uw werkgever hiertoe instructie geeft, behalve voor zover een wettelijke bewaarplicht vereist dat de gegevens langer worden bewaard.

B. Als u een bezoeker bent op een projectlocatie

Welke gegevens verwerken wij over u?

·       Naam

·       Naam van het bedrijf of de organisatie namens wie u op bezoek bent

·       Mobiel telefoonnummer

·       E-mailadres

·       Reden of doel van uw bezoek

·       Datum en tijdstip van uw check-in en check-out

·       Locatiegegevens van uw mobiele apparaat op het moment van check-in en check-out (zie het gedeelte over Geofencing hieronder)

Wij verwerken geen Burgerservicenummer, geen kopie van uw identiteitsbewijs en geen kopieën van vergunningen of certificaten als u een bezoeker bent.

Waarom verwerken wij deze gegevens?

Op grond van de Arbeidsomstandighedenwet moet de hoofdaannemer van het project weten wie er op zijn projectlocatie aanwezig is — voor de veiligheid, om veiligheidsinstructies te kunnen geven en om bij een eventueel incident een reconstructie te kunnen maken.

Op welke wettelijke basis?

Artikel 6 lid 1 sub c AVG (wettelijke verplichting op grond van de Arbeidsomstandighedenwet) en Artikel 6 lid 1 sub f AVG (gerechtvaardigd belang van de hoofdaannemer).

Gerechtvaardigde belangen:

·       aanwezigheidsregistratie op een Project;

·       het verhogen van het veiligheidsbewustzijn door middel van toetsing, het verstrekken van certificaten en de aantoonbare acceptatie van projectspecifieke regels en veiligheidsinstructies (zoals poortinstructies en gedragscodes).

Hoe lang bewaren we deze gegevens?

90 dagen na de datum van uw check-out. Langer alleen als er een lopend onderzoek naar een incident is dat dit rechtvaardigt.

C. Als u een werknemer bent van een nevenaannemer

Welke gegevens verwerken wij over u?

·       Naam

·       Bedrijfsnaam van de nevenaannemer waarvoor u werkt

·       Uw rol of activiteit op het project

·       Mobiel telefoonnummer

·       E-mailadres

·       Kopieën van uw certificaten (waaronder VCA- en andere vakbekwaamheidscertificaten)

·       Datum en tijdstip van uw check-in en check-out

·       Locatiegegevens van uw mobiele apparaat op het moment van check-in en check-out (zie het gedeelte over Geofencing hieronder)

Wij verwerken geen Burgerservicenummer, geen kopie van uw identiteitsbewijs en geen kopieën van verblijfs- of tewerkstellingsvergunningen als u een werknemer bent van een nevenaannemer.

Waarom verwerken wij deze gegevens?

Op grond van de Arbeidsomstandighedenwet moet de hoofdaannemer kunnen aantonen dat iedereen die op zijn projectlocatie werkt over de juiste kwalificaties beschikt (zoals een geldige VCA) en moet hij uw aanwezigheid registreren voor de veiligheid en eventuele incidentreconstructie.

Op welke wettelijke basis?

Artikel 6 lid 1 sub c AVG (wettelijke verplichting op grond van de Arbeidsomstandighedenwet) en Artikel 6 lid 1 sub f AVG (gerechtvaardigd belang van de hoofdaannemer).

Gerechtvaardigde belangen:

·       aanwezigheidsregistratie op een Project;

·       het verhogen van het veiligheidsbewustzijn door middel van toetsing, het verstrekken van certificaten en de aantoonbare acceptatie van projectspecifieke regels en veiligheidsinstructies (zoals poortinstructies en gedragscodes).

Hoe lang bewaren we deze gegevens?

Tot één jaar na het einde van het project waarvoor u op de locatie aanwezig was. Langer alleen als er een lopend onderzoek naar een incident is of een wettelijke bewaarplicht die dit rechtvaardigt.

Locatieverificatie (Geofencing)

Voor check-in en check-out maakt het Compli-platform gebruik van Geofencing: een virtuele grens om de projectlocatie. Hieronder leggen we uit wat dit in uw geval precies betekent.

Hoe werkt het?

Op het moment dat u in- of uitcheckt, vergelijkt de Compli-app de actuele locatie van uw mobiele apparaat met de coördinaten van de projectlocatie zoals vastgelegd door de hoofdaannemer.

Tussen uw check-in en uw check-out gebruikt de Compli-app de native geofencing-functie van iOS of Android op uw telefoon. Uw besturingssysteem controleert op systeemniveau of u de geofence verlaat, en stuurt alleen een signaal naar de Compli-app op het moment dat u de geofence betreedt of verlaat.

De Compli-app ontvangt geen continue stroom van locatiegegevens en verwerkt geen tussentijdse coördinaten. Dit doen wij expliciet om uw privacy te beschermen.

Wat slaan we op?

Wij slaan uitsluitend op:

·       Datum en tijdstip van uw check-in;

·       Datum en tijdstip van uw check-out.

De daadwerkelijke locatiecoördinaten van uw telefoon worden niet opgeslagen.

Wat als u geen toestemming geeft op uw telefoon?

Wanneer de app u voor het eerst om locatietoestemming vraagt, kunt u kiezen voor "Alleen deze keer", "Bij gebruik van de app" of "Niet toestaan". Als u geen toestemming geeft, kunt u niet zelf inchecken op een projectlocatie met de app. In dat geval kunt u alleen worden in- en uitgecheckt door een collega of andere geautoriseerde gebruiker die op de projectlocatie aanwezig is en die de juiste rechten in het Compli-platform heeft om dit te doen. Een check-in van buiten de geofence is niet mogelijk. Het systeem weigert dit en registreert het niet.

Compliance check bij check-in

Op het moment van uw check-in controleert het Compli-platform of de in het systeem vastgelegde documenten en certificaten op dat moment nog geldig zijn voor het werk op het desbetreffende project. Dit betreft onder meer uw identiteitsbewijs, verblijfs- of tewerkstellingsvergunning, A1-verklaring of certificaten zoals VCA.

Het resultaat van die controle wordt aan u en aan de geautoriseerde gebruikers van het platform getoond. Op basis van die controle neemt het Compli-platform geen geautomatiseerd besluit dat rechtsgevolgen heeft of u op vergelijkbare wijze in aanzienlijke mate treft in de zin van Artikel 22 AVG. De uiteindelijke beslissing of u al dan niet tot het werk wordt toegelaten, wordt altijd door een mens genomen — uw werkgever of de hoofdaannemer.

Acceptatie van projectspecifieke regels

De hoofdaannemer van een project kan van u verlangen dat u akkoord gaat met projectspecifieke regels en instructies — bijvoorbeeld veiligheidsinstructies, gedragscodes of poortinstructies — voordat u toegang krijgt tot de projectlocatie. Wanneer u via de Compli-app of via checkin.compli.nl op "Ik ga akkoord" klikt, legt het Compli-platform uw acceptatie vast met: uw naam of identificatie, de datum en het tijdstip, en de versie van het document waarmee u akkoord bent gegaan.

De inhoud en versies van deze regels worden bepaald door de hoofdaannemer. Compli treedt voor deze vastlegging op als verwerker.

Beveiliging van uw gegevens

Compli werkt in overeenstemming met het ISO 27001 informatiebeveiligingsmanagementsysteem. Dit betekent dat wij systematisch werken aan beveiligingsrisico's, onder meer via de volgende maatregelen:

·       Toegang tot uw gegevens is beperkt tot degenen die deze echt nodig hebben voor hun werk (role-based access control, multi-factor authenticatie waar van toepassing).

·       Versleuteling van uw gegevens tijdens verzending (TLS 1.2 of hoger) en bij opslag (AES-256).

·       Specifieke encryptie van uw Burgerservicenummer en versleutelde opslag van kopieën van identiteits- en werkdocumenten.

·       Periodieke risicobeoordelingen, audits en bewustwordingstrainingen voor onze medewerkers.

·       Een incidenten- en datalekprocedure die ervoor zorgt dat we snel kunnen reageren als er onverhoopt iets misgaat.

Iets verdachts opgemerkt? Laat het ons weten.
Als u iets opmerkt dat een datalek zou kunnen zijn — bijvoorbeeld dat iemand anders uw gegevens lijkt te kunnen inzien, een verkeerd geadresseerde bevestiging of toegang vanaf een onbekend apparaat — laat het ons dan zo snel mogelijk weten via privacy@compli.nl. Hoe eerder we het weten, hoe sneller we kunnen handelen.

Subverwerkers

Voor bepaalde onderdelen van onze dienstverlening werkt Compli samen met gespecialiseerde leveranciers. Met al deze partijen hebben wij verwerkersovereenkomsten gesloten, waarin minimaal dezelfde beveiligings- en privacyverplichtingen gelden als die Compli zelf hanteert.

Partij

Doel

Land

Doorgifte buiten de EER

Amazon Web Services (AWS)

Hosting van het Compli-platform

Verwerking binnen de EER (Frankfurt, Duitsland)

Nee

Didit.me

Verificatie van identiteitsbewijzen (alleen voor arbeidskrachten in de keten)

Spanje

Nee

BulkSMS

Verzenden van sms-berichten met verificatiecodes voor inloggen

Verenigd Koninkrijk en Zuid-Afrika

Ja — met EU Standard Contractual Clauses en aanvullende waarborgen

HubSpot

Klantenservice en CRM

Verenigde Staten (EU-datacenter waar mogelijk)

Ja — onder het EU-U.S. Data Privacy Framework, met aanvullende Standard Contractual Clauses

Doorgifte van uw gegevens naar landen buiten de EER

Zoals hierboven beschreven, wordt een beperkt deel van uw gegevens — alleen uw telefoonnummer en sms-tekst (BulkSMS), of contactgegevens en supportberichten (HubSpot) — doorgegeven naar landen buiten de Europese Economische Ruimte. Dit gebeurt uitsluitend op basis van een geldig doorgiftemechanisme onder Hoofdstuk V AVG: het EU-U.S. Data Privacy Framework voor HubSpot, en de Standard Contractual Clauses van de Europese Commissie plus aanvullende waarborgen voor BulkSMS, in overeenstemming met de Schrems II-jurisprudentie van het Hof van Justitie.

Identificatiegegevens, kopieën van identiteitsbewijzen, BSN, vergunningen en certificaten blijven binnen de EER.

Uw rechten

Onder de AVG heeft u de volgende rechten met betrekking tot uw persoonsgegevens:

·       Inzage — u heeft het recht om te weten welke gegevens over u worden verwerkt en om hiervan een kopie te ontvangen.

·       Rectificatie — als uw gegevens onjuist of onvolledig zijn, kunt u verzoeken deze te corrigeren of aan te vullen.

·       Wissing — onder bepaalde voorwaarden kunt u verzoeken om verwijdering van uw gegevens. Let op: wettelijke bewaartermijnen kunnen verwijdering in de weg staan zolang die termijn loopt.

·       Beperking — u kunt verzoeken om de verwerking tijdelijk stop te zetten, bijvoorbeeld tijdens de beoordeling van een rectificatieverzoek.

·       Bezwaar — u kunt bezwaar maken tegen de verwerking, in het bijzonder tegen verwerkingen gebaseerd op een gerechtvaardigd belang.

·       Gegevensoverdraagbaarheid — voor zover de verwerking is gebaseerd op toestemming of een overeenkomst en geautomatiseerd wordt uitgevoerd, kunt u verzoeken uw gegevens in een gangbaar formaat te ontvangen of te laten overdragen.

·       Intrekken van toestemming — als u toestemming heeft gegeven voor een specifieke verwerking (zoals het delen van uw locatie via de app), kunt u die toestemming op elk moment intrekken via de instellingen van uw telefoon.

Hoe oefent u uw rechten uit?

U kunt uw rechten in de eerste plaats uitoefenen bij de verwerkingsverantwoordelijke — dat is uw werkgever (als u een arbeidskracht in de keten bent) of de hoofdaannemer (als u een bezoeker of een werknemer van een nevenaannemer bent). Als u niet weet wie dat in uw geval is, of als u uw rechten via Compli wilt uitoefenen, stuur dan een e-mail naar privacy@compli.nl. Wij zullen uw verzoek dan direct doorsturen naar de juiste verwerkingsverantwoordelijke en u op de hoogte houden.

Wij hanteren een reactietermijn van maximaal één maand, in lijn met Artikel 12 lid 3 AVG.

Klachten

Heeft u een klacht over de wijze waarop uw gegevens worden verwerkt? Neem dan eerst contact op met de verwerkingsverantwoordelijke (uw werkgever of de hoofdaannemer) of met ons via privacy@compli.nl. Mochten we er samen niet uitkomen, dan heeft u altijd het recht om een klacht in te dienen bij de Nederlandse toezichthouder:

Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag, Nederland
https://www.autoriteitpersoonsgegevens.nl

Wijzigingen in deze privacyverklaring

Wij kunnen deze privacyverklaring van tijd tot tijd wijzigen, bijvoorbeeld als wet- en regelgeving verandert of als we nieuwe functionaliteit aan het Compli-platform toevoegen. De meest actuele versie is altijd beschikbaar op compli.nl/yourprivacy. Wij zullen materiële wijzigingen vooraf aankondigen via de app en/of via het bij ons bekende e-mailadres of telefoonnummer.

Contact

Heeft u vragen over deze privacyverklaring of over hoe wij met uw gegevens omgaan?

Compli B.V.
John M. Keynesplein 10, Amsterdam
KvK 88171833
E-mail: privacy@compli.nl

Versie 2.0 — laatst bijgewerkt: 29 mei 2026