Concept: deze tekst wordt nog juridisch getoetst.
Privacyverklaring
Cadence helpt teams hun ceremonies te beoordelen en te verbeteren, met privacy als uitgangspunt. In deze verklaring lees je welke gegevens Cadence verwerkt, waarom, hoe lang, en welke rechten je hebt. Cadence wordt geleverd door juridische naam, handelend onder de naam TimeInvest, KvK KvK-nummer, adres (hierna: TimeInvest, wij).
1. Wie is verantwoordelijk?
Dat hangt af van welke gegevens het gaat.
- Gegevens in Cadence. Je werkgever of opdrachtgever gebruikt Cadence voor zijn teams. Die organisatie bepaalt waarvoor Cadence wordt gebruikt en is de verwerkingsverantwoordelijke. TimeInvest is de verwerker: wij verwerken de gegevens alleen in opdracht van die organisatie, volgens onze verwerkersovereenkomst. Heb je een vraag over je gegevens in Cadence, of wil je een recht uitoefenen, dan kun je het best eerst bij je eigen organisatie terecht. Wij helpen die organisatie daarbij.
- Onze eigen gegevens. Voor gegevens die wij voor onszelf verwerken, zoals de contactgegevens en facturen van klanten en de berichten die je ons stuurt, is TimeInvest de verwerkingsverantwoordelijke.
2. Hoe Cadence met privacy omgaat
Cadence is zo gebouwd dat het zo weinig mogelijk over personen hoeft te weten.
- Beoordelingen van ceremonies zijn anoniem. Cadence legt vast dát je een ceremonie hebt beoordeeld, maar slaat je score op zonder je naam en zonder tijdstip. Zolang een ceremonie nog beoordelingen verzamelt, wordt je score los van je naam bewaard; daarna is hij niet meer naar jou te herleiden.
- Uitkomsten alleen voor groepen. Een score wordt pas getoond als minstens 5 mensen hebben geantwoord, en pas bewaard als minstens 3 mensen hebben geantwoord. Teams worden nooit tegen elkaar afgezet.
- Notities zonder schrijver. Een notitie bij een beoordeling wordt opgeslagen bij het team en de ceremonie, niet bij jou.
- Optionele functies staan uit. AI-hulp, de analyse van vergadertranscripten en de Meeting Persona Assessment werken alleen als je organisatie ze aanzet.
- Gegevens blijven in de EU. Cadence draait in datacenters in de Europese Unie. Uitzonderingen staan in paragraaf 6.
Op de pagina Jouw gegevens in Cadence zie je precies wat er over jou wordt vastgelegd.
3. Welke gegevens Cadence verwerkt
| Gegevens | Waarvoor | Grondslag |
|---|---|---|
| Naam, zakelijk e-mailadres, taal, teams en rol | Je account, inloggen, je teams laten werken | Gerechtvaardigd belang van je organisatie; uitvoering van de overeenkomst |
| Inloggegevens: koppeling met je Microsoft- of Google-account, of een versleutelde hash van je wachtwoord en je instellingen voor inloggen in twee stappen | Veilig inloggen | Idem |
| Dat je een ceremonie hebt beoordeeld (zonder score) | Het responspercentage berekenen | Gerechtvaardigd belang van je organisatie |
| Notities, belemmeringen, acties en hun eigenaren | Retrospectives en verbeteringen opvolgen | Gerechtvaardigd belang van je organisatie |
| Persoonlijke notities van je Scrum Master of coach over jou | Coaching | Gerechtvaardigd belang van je organisatie; je kunt ze inzien |
| Antwoorden op pulsechecks (standaard anoniem) | Peilen hoe het team ervoor staat | Gerechtvaardigd belang van je organisatie |
| Afwezigheidsdata (nooit een reden) | Capaciteit van het team plannen | Gerechtvaardigd belang van je organisatie |
| Gegevens uit gekoppelde diensten, zoals sprints en werkitems uit Jira of Azure DevOps (geen titels of beschrijvingen) | Leveringscijfers van het team | Gerechtvaardigd belang van je organisatie |
| Een auditlog van belangrijke handelingen, zoals wie welke teamgegevens bekeek | Beveiliging en verantwoording | Gerechtvaardigd belang; wettelijke verplichting |
| Optioneel: je resultaat van de Meeting Persona Assessment | Inzicht in je eigen vergaderstijl; alleen jij ziet je resultaat | Jouw keuze om mee te doen |
| Optioneel: kenmerken uit vergadertranscripten, zonder namen | Samenvattingen, besluiten en voorgestelde acties | Gerechtvaardigd belang; alleen als je organisatie het aanzet, met instemming van de ondernemingsraad |
Voor onze eigen klantrelatie verwerken wij de naam, het e-mailadres en de factuurgegevens van de contactpersoon van de klant (grondslag: uitvoering van de overeenkomst en wettelijke bewaarplicht), en de berichten die je ons stuurt (grondslag: gerechtvaardigd belang, om je te kunnen helpen).
4. Hoe lang gegevens worden bewaard
Cadence verwijdert gegevens automatisch volgens deze termijnen. Je organisatie kan gegevens eerder laten verwijderen.
| Gegevens | Bewaartermijn |
|---|---|
| Een score in afwachting van vrijgave (los van je naam) | hooguit 2 dagen |
| Anonieme beoordelingen van ceremonies | 5 jaar |
| Notities bij ceremonies | 3 jaar |
| Persoonlijke notities en coachingnotities | 1 jaar |
| Belemmeringen en acties | 3 jaar |
| Responsregistratie (dat je hebt geantwoord) | 3 jaar |
| Afwezigheidsdata | 1 jaar |
| Leveringsdata uit gekoppelde diensten | 3 jaar (ruwe gesynchroniseerde data: 90 dagen) |
| Anonieme antwoorden op pulsechecks | 3 jaar |
| Antwoorden op pulsechecks met naam | 90 dagen |
| Resultaat van de Meeting Persona Assessment | 12 maanden |
| Teambeelden van persona’s (alleen aantallen) | 3 jaar |
| Kenmerken uit vergadertranscripten | 2 jaar (de transcripttekst zelf: hooguit 4 uur) |
| Teamlidmaatschappen en het auditlog | 7 jaar |
| Versleutelde back-ups | 14 dagen |
| Facturen en factuurgegevens (TimeInvest) | 7 jaar, vanwege de fiscale bewaarplicht |
Beëindigt een organisatie haar gebruik van Cadence, dan worden al haar gegevens 30 dagen na het verzoek verwijderd. Daarna blijft alleen een verslag van de verwijdering over: de naam van de organisatie, de datums en het aantal verwijderde records.
5. Wie de gegevens kan zien
- In je organisatie: wat je ziet, hangt af van je rol. Je Scrum Master ziet uitkomsten van je team, nooit wie welke score gaf. Beheerders regelen accounts en privacyverzoeken.
- Bij TimeInvest: in onze beheerconsole zien onze medewerkers per organisatie alleen instellingen en aantallen, nooit de mensen of de inhoud. Toegang tot de servers is beperkt tot enkele beheerders, met een persoonlijke sleutel, en alleen als dat nodig is voor beheer of beveiliging.
- Subverwerkers: partijen die ons helpen Cadence te leveren, zoals onze hostingpartij. Je vindt ze op de pagina Subverwerkers.
Wij verkopen geen gegevens, gebruiken ze niet voor advertenties en trainen er geen AI-modellen mee.
6. Gegevens buiten de EU
Cadence zelf draait in de EU. Twee uitzonderingen:
- Betalingen lopen via Stripe Payments Europe in Ierland. Stripe kan gegevens van de factuurcontactpersoon doorgeven aan Stripe, Inc. in de Verenigde Staten, op basis van het EU-VS Data Privacy Framework en de standaardcontractbepalingen van de Europese Commissie.
- Koppelingen die je organisatie zelf aanzet, zoals Slack, Microsoft Teams of een AI-aanbieder, sturen gegevens naar die dienst. Je organisatie kiest die diensten en heeft daar zelf een overeenkomst mee. Cadence stelt een AI-aanbieder alleen voor als die in de EU wordt gehost.
7. Beveiliging
Wij beveiligen gegevens onder meer zo: versleutelde verbindingen (https), wachtwoorden alleen als sterke hash, inloggen in twee stappen, strikte scheiding van organisaties in de database, versleutelde back-ups, automatische beveiligingsupdates, een auditlog, en zo weinig mogelijk mensen met toegang. Meer detail staat in de bijlage bij de verwerkersovereenkomst.
8. Cookies en opslag in je browser
Cadence gebruikt alleen functionele cookies: om je ingelogd te houden, om formulieren te beveiligen tegen misbruik, en tijdelijk tijdens het inloggen. Er zijn geen cookies voor statistieken of advertenties, en geen trackers van anderen. Daarom vragen wij geen toestemming voor cookies.
In je browser bewaart Cadence ook een paar voorkeuren, zoals je thema en taal, en de lijst Jouw notities, waarmee je je eigen anonieme notities volgt. Die lijst staat alleen op jouw apparaat. Pushmeldingen krijg je alleen als je ze zelf aanzet.
9. Je rechten
Je hebt het recht op inzage, correctie, verwijdering, beperking, overdraagbaarheid en bezwaar. Voor je gegevens in Cadence doe je een verzoek bij je eigen organisatie, bijvoorbeeld via Jouw gegevens in Cadence. Je organisatie beantwoordt het binnen 30 dagen; wij helpen daarbij. Beoordelingen kunnen wij niet aan jou koppelen, ook niet op verzoek: ze zijn nooit aan jou gekoppeld opgeslagen.
Voor gegevens waarvoor TimeInvest zelf verantwoordelijk is, neem je contact op via e-mailadres.
Ben je het niet eens met hoe wij met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens. Wij horen het graag eerst zelf, zodat we het kunnen oplossen.
10. Wijzigingen
Wij passen deze verklaring aan als Cadence of de wet verandert. Bij belangrijke wijzigingen laten wij het de beheerders van klantorganisaties vooraf weten. De datum van de laatste versie staat onderaan.
11. Contact
TimeInvest · adres · e-mailadres · KvK KvK-nummer
Versie 1.0 · datum van ingang