Privacybeleid

01

Inleiding

Komma ApS (CVR-nr. 46208765), Paul Bergsøes Vej 16, 1. tv, 2600 Glostrup, Denemarken, bouwt het HR-systeem voor Noordse bedrijven – alle HR op één plek, met de AI-assistent Karma ingebouwd. Dit privacybeleid legt uit hoe we persoonsgegevens verwerken: welke gegevens, waarom, hoe lang – en welke rechten je hebt.

Het beleid dekt de hele route: je eerste bezoek aan onze website, een demo-aanvraag of een andere vraag, de klantrelatie, het dagelijks gebruik van het platform en de mobiele app – en je sollicitatie als je bij Komma solliciteert. Waar je ons ook tegenkomt, je vindt jezelf terug in dit beleid.

Het beleid is geschreven om gelezen te worden. Paragraaf 3 tot en met 21 beginnen elk met een kader "Kort gezegd": één tot drie zinnen in gewone taal die je de kern geven voordat de details volgen. Alles wat in een tabel past – gegevenscategorieën, rechtsgronden, termijnen – staat in tabellen, en de volledige woordenlijst staat in bijlage A.

Het beleid geldt voor kommahr.com, kommahr.dk, het Komma-platform en de mobiele app. Waar je organisatie het platform gebruikt, is je organisatie de verwerkingsverantwoordelijke voor de gegevens in het platform, en de details van onze verwerking zijn geregeld in de verwerkersovereenkomst (DPA) – zie paragraaf 5 en 12.

Dit is versie 1.2 van het beleid. Het treedt in werking op 31 juli 2026. Heb je op enig moment vragen, dan kun je altijd schrijven naar hej@kommahr.com – zie paragraaf 23.

02

Definities

Gegevensbescherming heeft een eigen vocabulaire. Hier zijn de tien begrippen die je in dit beleid het vaakst tegenkomt, uitgelegd in gewone woorden – de volledige woordenlijst staat in bijlage A.

03

Onze privacyfilosofie

Het zijn jullie gegevens. Wij bewaren ze alleen. Die zin is de taakverdeling bij Komma: je organisatie is eigenaar van de gegevens in het platform en heeft er zeggenschap over – Komma slaat ze op en beschermt ze. Al het andere in dit beleid volgt daaruit. We hebben het vertaald in vijf toezeggingen:

• Privacy is een productfunctie. Toegangsbeheer op veldniveau, een auditlog dat niet kan worden bewerkt en geautomatiseerde bewaarregels zijn vanaf dag één in het platform ingebouwd – geen add-ons, en niet iets wat je zelf moet bouwen. Zie paragraaf 15.
• Dataminimalisatie vanaf het eerste veld. We verzamelen alleen wat een specifiek doel vereist – ons demoformulier heeft zes velden, en het telefoonnummer is optioneel. In het platform ziet elke rol alleen de velden die hij nodig heeft.
• Een website waar jij beslist. kommahr.com en kommahr.dk plaatsen geen cookies, laden geen advertentiepixels en hebben geen chatwidgets. Bij je eerste bezoek vraagt een pop-up of je Statistieken en Bedrijfsherkenning wilt inschakelen – beide blijven uit totdat je ja zegt. Zonder je toestemming telt onze server alleen, anoniem, hoe vaak elke pagina wordt getoond. Zie paragraaf 8.
• We verkopen nooit gegevens. Niet aan adverteerders, niet aan databrokers, niet als "geanonimiseerde inzichten". Jullie gegevens zijn niet ons verdienmodel – het platform wel.
• Gewone taal in plaats van juridisch jargon. Dit beleid is geschreven voor mensen: paragraaf 3 tot en met 21 beginnen elk met een kader "Kort gezegd", en we verwijzen naar de relevante artikelen van de AVG zodat je onze beweringen zelf kunt controleren.

Deze vijf toezeggingen zijn geen ambities – ze zijn te controleren. Lees paragraaf 8 over de website, paragraaf 14 over AI en paragraaf 15 over beveiliging, en houd ons eraan.

04

De AVG-beginselen in de praktijk

Artikel 5 van de Algemene verordening gegevensbescherming (AVG) bevat zeven beginselen voor elke verwerking van persoonsgegevens. Zij zijn de maatstaf waaraan we werken – hier is elk beginsel en wat het in de praktijk bij Komma betekent.

05

Onze rollen: verwerkingsverantwoordelijke en verwerker

De Algemene verordening gegevensbescherming (AVG) maakt onderscheid tussen twee rollen. De verwerkingsverantwoordelijke bepaalt waarom en hoe persoonsgegevens worden verwerkt. De verwerker verwerkt persoonsgegevens uitsluitend namens de verwerkingsverantwoordelijke en volgens diens instructies.

Voor Komma is de verdeling eenvoudig. Als je zelf contact met ons zoekt – onze website bezoekt, een demo aanvraagt, naar support schrijft of bij ons solliciteert – is Komma ApS de verwerkingsverantwoordelijke. Als je organisatie Komma als HR-systeem gebruikt, zijn jullie de verwerkingsverantwoordelijke voor alles wat jullie in het platform invoeren: medewerkers, oud-medewerkers, kandidaten, contractanten en contactpersonen. De gegevens van jullie medewerkers zijn van jullie – niet van ons. We verwerken ze uitsluitend volgens jullie instructies onder de verwerkersovereenkomst (DPA).

Als een medewerker, kandidaat of andere betrokkene in de Komma-oplossing van een klant inzage in, rectificatie of wissing van zijn of haar gegevens wil, gaat het verzoek altijd naar de werkgever – als verwerkingsverantwoordelijke kan en moet de werkgever het beantwoorden. Als we zo’n verzoek rechtstreeks ontvangen, sturen we het zonder onredelijke vertraging door naar de klant en beantwoorden we het nooit op eigen houtje. We helpen de klant het verzoek af te handelen, zoals de verwerkersovereenkomst ons verplicht (artikel 28). Lees meer over het platform in paragraaf 12 en over je rechten in paragraaf 19.

06

Categorieën persoonsgegevens

In deze paragraaf staat welke categorieën persoonsgegevens we in elk van onze twee rollen verwerken (zie paragraaf 5). Paragraaf 7 koppelt de categorieën aan doelen, rechtsgronden en bewaartermijnen.

6.1 Waar Komma de verwerkingsverantwoordelijke is

Waar Komma de verwerkingsverantwoordelijke is, verzamelen we alleen wat nodig is om je te antwoorden en ons bedrijf te runnen:

6.2 Waar Komma de verwerker is (gegevens in het platform)

Als je organisatie het platform gebruikt, bepalen jullie als verwerkingsverantwoordelijke welke categorieën worden verwerkt, over wie en hoe lang. De tabel toont de categorieën die het platform kan bevatten:

We verwerken bijzondere categorieën van persoonsgegevens – gezondheidsinformatie en vakbondslidmaatschap – uitsluitend volgens de gedocumenteerde instructies van de klant en op basis van de rechtsgrond van de klant, doorgaans verplichtingen uit het arbeidsrecht (artikel 9, lid 2, onder b). CPR-nummers worden alleen verwerkt waar de salarisadministratie of wettelijke doeleinden dat vereisen (§ 11 van de Deense wet inzake gegevensbescherming (databeskyttelsesloven)).

Verzuimredenen genieten in het platform een aparte bescherming: de toegang is beperkt in het rollenmodel, en API-sleutels kunnen ze nooit ophalen – verzuimredenen zijn, samen met salaris en CPR-nummers, al bij de bron uitgesloten van API-toegang.

07

Verwerkingsactiviteiten – overzicht

De tabel dekt onze beide rollen. In de rij "Werking van het platform" is Komma de verwerker: daar gelden de rechtsgronden en bewaarinstellingen van de klant, en de verwerkersovereenkomst (DPA) vormt het kader. In alle andere rijen is Komma de verwerkingsverantwoordelijke.

Overal waar de rechtsgrond een gerechtvaardigd belang is, hebben we dat belang in de tabel benoemd en een belangenafweging gemaakt tegen jouw belangen. Je kunt altijd bezwaar maken tegen een verwerking op basis van gerechtvaardigd belang (artikel 21) – zie paragraaf 19.

De details volgen in paragraaf 8–13: website en cookies (paragraaf 8), leads en marketing (paragraaf 9), demo’s, webinars en evenementen (paragraaf 10), support (paragraaf 11), klanten en medewerkers in het platform (paragraaf 12) en sollicitanten bij Komma (paragraaf 13).

08

Website en cookies

De website plaatst geen cookies, laadt geen advertentiepixels en heeft geen chatwidgets. De eerste keer dat je kommahr.com of kommahr.dk bezoekt, vraagt een pop-up welke van drie soorten opslag je accepteert: Noodzakelijk, Statistieken en Bedrijfsherkenning. Noodzakelijk onthoudt alleen je keuze, zodat we het niet op elke pagina opnieuw vragen. De andere twee blijven uit totdat je ze inschakelt, en je kunt je keuze op elk moment wijzigen of intrekken via Cookie-instellingen onderaan elke pagina.

8.1 Wat we in je browser opslaan

We slaan alleen op waar je ja tegen hebt gezegd, en we gebruiken daarvoor nergens cookies. Je keuze in de pop-up staat 12 maanden in de localStorage van je browser onder de sleutel "komma-consent", zodat we het niet op elke pagina opnieuw vragen. Als je Statistieken of Bedrijfsherkenning hebt ingeschakeld, bewaren we in de sessionStorage van je browser ook welke pagina of campagne je hierheen heeft gestuurd ("komma-src"), en bij Bedrijfsherkenning een willekeurige bezoek-ID ("komma-sid"). Beide verdwijnen wanneer je het tabblad sluit. De taal komt uit het adres – elke taal heeft een eigen map, zoals /da/ – en wordt niet opgeslagen.

8.2 Serverlogs

De webserver legt automatisch technische logs vast met je IP-adres, het tijdstip en de pagina’s die je opvraagt. We gebruiken ze uitsluitend voor beveiliging en probleemoplossing – bijvoorbeeld om aanvallen, misbruik en storingen op te sporen – op basis van ons gerechtvaardigd belang bij een veilige en stabiele website (artikel 6, lid 1, onder f). Logs worden uiterlijk na 90 dagen verwijderd. De website wordt gehost door Vercel, en onze serverfuncties draaien in de EU (Stockholm) (zie paragraaf 16).

Naast de logs telt onze server elke pagina die hij levert, voor elke bezoeker en zonder het te vragen: één erbij in de dagtotalen van die pagina, de website die je hierheen heeft gestuurd (alleen de naam ervan), eventuele campagnetags in de link en je land en regio (bijvoorbeeld Region Midtjylland), beide op basis van de locatie van het netwerk. Er worden geen IP-adres, geen browsergegevens en geen ID bewaard, en er wordt niets van je apparaat gelezen of erop opgeslagen. Verzoeken die geautomatiseerd lijken, worden apart geteld. De dagtotalen worden na 120 dagen verwijderd.

8.3 Statistieken en bedrijfsherkenning – alleen met je toestemming

Als je Statistieken inschakelt, laadt elke pagina Vercel Web Analytics vanaf het eigen adres van de website. Het telt paginaweergaven, verwijzende site, land, browser en type apparaat, toont ons alleen totalen, plaatst geen cookies en volgt je niet op andere sites en ook niet van de ene dag op de andere.

Als je Bedrijfsherkenning inschakelt, proberen we te achterhalen van welk bedrijf – nooit van welke persoon – een bezoek komt. Je IP-adres wordt opgezocht in een kopie van de database van IPinfo die in onze eigen serverfunctie in de EU (Stockholm) staat, en in de openbare DNS en in een kopie van het openbare register van RIPE NCC waarin staat aan wie IP-adressen zijn toegewezen, dat ook in onze eigen serverfunctie staat. Daarna wordt het IP-adres weggegooid; we slaan het nooit op, zelfs niet als hash. Als het netwerk van een bedrijf is, bewaren we de naam van het bedrijf, de bekeken pagina’s, de tijd die daarop is doorgebracht, waar het bezoek vandaan kwam en het land 90 dagen in onze database bij Upstash (Frankfurt). Dezelfde gegevens kunnen een notitie of een lead worden in ons CRM, Pipedrive, en ons salesteam kan een bericht over het bezoek krijgen in Microsoft Teams. Voor Deense bedrijven zoeken we omvang en branche op in het CVR-register via cvrapi.dk – uitsluitend op basis van de naam van het bedrijf.

Een bezoek vanaf een thuis- of mobiele verbinding wordt alleen geteld, nooit benoemd. Als de verbinding een eigen domein in de DNS heeft, tellen we alleen dat domein per dag, gedurende 30 dagen, om te meten hoe goed het opzoeken werkt.

Met deze toestemming tellen we ook de geschatte plaats waar het netwerk zich bevindt (bijvoorbeeld Aarhus; op mobiele netwerken vaak de plaats van de provider). Voor bezoeken die we niet aan een bedrijf kunnen koppelen, tellen we daarnaast per regio – nooit per plaats – of de prijs-, demo- of contactpagina is bekeken. Beide worden alleen als dagtotalen zonder IP-adres of ID bewaard en na 90 dagen verwijderd.

De serverlogs en de anonieme paginatelling berusten op ons gerechtvaardigd belang (artikel 6, lid 1, onder f) bij een veilige, stabiele website en bij weten welke pagina’s worden gebruikt. Statistieken en elke opslag in je browser naast je keuze berusten op je toestemming (artikel 6, lid 1, onder a), die je op elk moment kunt intrekken. Het opvolgen van bedrijfsbezoeken berust op ons gerechtvaardigd belang om te weten welke bedrijven naar Komma kijken (artikel 6, lid 1, onder f). We hebben de vereiste belangenafweging tegen jouw belangen gemaakt, en je kunt altijd bezwaar maken (artikel 21) – zie paragraaf 19.

8.4 Onze belofte

Als we nieuwe diensten toevoegen die iets in je browser opslaan of informatie over je bezoek versturen, komen die achter de toestemmingspop-up, en wordt deze paragraaf bijgewerkt voordat er ook maar iets in je browser wordt geplaatst (zie paragraaf 22 over wijzigingen in dit beleid).

09

Leads en marketing

Komma is B2B: onze marketing is gericht op bedrijven, maar het zijn altijd mensen die de formulieren invullen. Hier staat precies wat we verzamelen, waarom we dat mogen en wat we nooit doen.

9.1 Wat we verzamelen

De website heeft twee formulieren. We verzamelen alleen wat de velden laten zien, plus welk formulier je hebt gebruikt, de pagina van waaruit je het hebt verstuurd en de taal van de pagina. Er zit geen verborgen verrijking achter: bedrijfsherkenning gebeurt alleen als je daar in de pop-up of in het formulier ja tegen hebt gezegd (zie paragraaf 8.3). We registreren je rol of functie alleen als die in je aanvraag staat – bijvoorbeeld in je e-mailhandtekening.

9.2 Rechtsgronden

Waar we ons op gerechtvaardigd belang baseren, hebben we de vereiste afweging gemaakt tussen ons belang en jouw rechten (de belangenafweging). Je kunt op elk moment bezwaar maken tegen de verwerking (artikel 21) – en dan stoppen we. Lees meer over je rechten in paragraaf 19.

9.3 Marketing die we niet doen

Het eenvoudigst is om op te sommen wat er niet gebeurt als je contact met ons opneemt:

• Geen nurture-flows – een demo aanvragen start geen reeks e-mails.
• Geen autoresponder-campagnes – het volgende dat je van ons hoort, is een mens die je bericht heeft gelezen.
• Geen nieuwsbrief – we hebben er vandaag geen, dus er is niets waarvoor je moet onthouden je af te melden.
• Geen doorverkoop – we verkopen of delen je contactgegevens nooit met iemand voor marketing.

9.4 Bewaartermijn

Wordt je organisatie geen klant, dan verwijderen we je aanvraag en contactgegevens 12 maanden na ons laatste actieve contact. Worden jullie wel klant, dan gaan de gegevens over naar de klantstamgegevens en volgen ze de klantrelatie (zie paragraaf 18).

9.5 Als we ooit een nieuwsbrief starten

Als we ooit een nieuwsbrief starten, gebeurt dat uitsluitend op basis van toestemming (artikel 6, lid 1, onder a): we schrijven je alleen als je je actief hebt aangemeld, bestaande contacten worden niet automatisch overgezet, en je kunt je toestemming net zo gemakkelijk intrekken als je die gaf – één klik in elke e-mail.

10

Demo’s, webinars en evenementen

We laten je Komma liever zien dan dat we erover praten. Hier staat hoe we met persoonsgegevens omgaan als je ons ontmoet bij een demo, in een proefomgeving of – ooit – tijdens een webinar.

10.1 Demo’s

Een demo is een geplande sessie waarin we je het platform laten zien – en daarna volgt een mens op met een persoonlijk antwoord op waar je naar vroeg. Je wordt nergens automatisch voor ingeschreven – geen lijsten, geen flows, geen campagnes. We verwerken de gegevens van de aanvraag zoals beschreven in paragraaf 9, en ze worden volgens dezelfde regels verwijderd.

10.2 Proefomgevingen

Als we een proefomgeving voor jullie opzetten, geldt één eenvoudige regel: de gegevens in de proefomgeving zijn van jullie. We verwerken ze uitsluitend om de omgeving te leveren (artikel 6, lid 1, onder b) en gebruiken ze niet voor ontwikkeling, statistiek of marketing. Worden jullie klant, dan gaat de verwerking verder onder de verwerkersovereenkomst als onderdeel van de klantrelatie (zie paragraaf 12). Verloopt de proefperiode zonder overeenkomst, dan verwijderen we de proefomgeving en alle gegevens daarin uiterlijk 30 dagen na het verlopen – en back-ups worden volledig gewist binnen maximaal 90 dagen, precies zoals wanneer een klantrelatie eindigt (zie paragraaf 18).

10.3 Webinars en evenementen

We organiseren vandaag geen webinars. Als we dat ooit doen – of evenementen met registratie organiseren – gebruiken we je registratiegegevens alleen voor dat specifieke evenement: praktische informatie vooraf, tijdens en kort erna. Je wordt nooit aan marketinglijsten toegevoegd zonder aparte, actieve toestemming (artikel 6, lid 1, onder a).

11

Support

Goede support heeft verrassend weinig persoonsgegevens nodig. Hier staat wat we verwerken als je ons schrijft – en wat we je vragen niet te sturen.

11.1 Wat we verwerken

Support is voorbehouden aan klanten die het Komma-platform gebruiken en loopt via support@kommahr.com. Vragen van anderen worden beantwoord via hej@kommahr.com. Als je ons schrijft, verwerken we je naam, je zakelijke contactgegevens en de inhoud van je vraag – niets meer, niets minder. Voor klanten maakt support deel uit van onze overeenkomst met jullie (artikel 6, lid 1, onder b). Als je ons schrijft zonder klant te zijn, antwoorden we op basis van ons gerechtvaardigd belang bij het beantwoorden van vragen over ons product (artikel 6, lid 1, onder f); je kunt bezwaar maken op grond van artikel 21 (zie paragraaf 19).

11.2 Stuur geen persoonsgegevens van medewerkers

We vragen je één ding: plak geen persoonsgegevens van medewerkers in supportvragen. Beschrijf in plaats daarvan het probleem – bijvoorbeeld met een medewerker-ID of een screenshot zonder persoonsgegevens. CPR-nummers, salarisgegevens en verzuimredenen horen in het platform, niet in een e-mail. Als we zulke gegevens toch ontvangen, verwijderen we ze wanneer de zaak is afgesloten.

11.3 Toegang tot jullie gegevens in het platform

Sommige zaken kunnen alleen worden opgelost doordat iemand van ons supportteam jullie gegevens in het platform bekijkt. Dat gebeurt uitsluitend wanneer het nodig is om de specifieke zaak op te lossen. De toegang wordt afgebakend door het rollenmodel van het platform en wordt altijd vastgelegd in het niet-bewerkbare auditlog – zodat jullie zelf kunnen zien wie wat heeft gezien, en wanneer.

11.4 Bewaartermijn

12

Klanten en medewerkers in het platform

Deze paragraaf is voor jullie als klant van Komma – en voor jou als medewerker, kandidaat of contactpersoon bij een bedrijf dat het platform gebruikt. Hij beschrijft de rolverdeling en de verwerkersovereenkomst (paragraaf 12.1), wat het platform bevat en hoe het zelf opruimt (paragraaf 12.2), en hoe de toegang van medewerkers wordt beheerd en gelogd (paragraaf 12.3).

12.1 Rollen en de verwerkersovereenkomst

Als je organisatie het platform gebruikt, zijn jullie de verwerkingsverantwoordelijke voor elk persoonsgegeven dat jullie erin invoeren. Jullie bepalen de doelen, kiezen de bewaarinstellingen en geven de instructies. Komma ApS is jullie verwerker en verwerkt de gegevens uitsluitend binnen dat kader (artikel 28).

De basis is onze verwerkersovereenkomst (DPA), een vast onderdeel van elke klantovereenkomst. Daarin verbinden we ons onder meer tot het volgende:

Als een medewerker, kandidaat of andere betrokkene rechtstreeks contact met ons opneemt over gegevens in jullie platform, sturen we het verzoek naar jullie door en beantwoorden we het nooit op eigen houtje. Jullie antwoorden als verwerkingsverantwoordelijke – wij leveren de bijstand en de tools.

12.2 Wat het platform bevat – en wanneer het zelf verwijdert

Paragraaf 6.2 beschrijft de categorieën persoonsgegevens waarvoor het platform is gebouwd – van stamgegevens van medewerkers en salarisgegevens tot verzuim, werving en feedback. Jullie bepalen welke categorieën jullie gebruiken en hoe lang ze worden bewaard. Verwijderen is een ingebouwde functie, geen handmatig klusje – het platform wordt geleverd met deze automatische standaardinstellingen:

De standaardinstellingen weerspiegelen de Deense praktijk en wettelijke bewaarvereisten, maar de bewaarinstellingen zijn van jullie: jullie kunnen ze aanpassen aan jullie eigen verwijdertermijnen – binnen de grenzen van de wet.

12.3 Medewerkers in het platform

Medewerkers zijn de mensen die inloggen op jullie platform – het HR-team, leidinggevenden en medewerkers. De toegang is gebouwd op een eenvoudig principe: elke medewerker ziet alleen wat zijn of haar rol vereist.

• Inloggen met Microsoft Entra ID (SSO) met automatische provisioning en deprovisioning: wanneer een medewerker het bedrijf verlaat, wordt de toegang automatisch afgesloten.
• Rolgebaseerd toegangsbeheer tot op veldniveau, afgebakend per afdeling, locatie en juridische entiteit.
• Niet-bewerkbaar auditlog: elke inzage, wijziging en export wordt vastgelegd in een auditlog dat niet kan worden bewerkt.
• Anonimiteitsdrempels in pulsonderzoeken: antwoorden worden alleen getoond in groepen die groot genoeg zijn dat niemand kan worden geïdentificeerd.

Ben je medewerker met toegang tot het platform van een klant, dan is je werkgever de verwerkingsverantwoordelijke voor jouw gegevens. Neem contact op met je werkgever om je rechten uit te oefenen – zie paragraaf 19.

13

Sollicitanten bij Komma

Als je solliciteert naar een functie bij Komma – per e-mail of via een vacature – verwerken we je sollicitatie, je cv, je contactgegevens en onze notities van de gesprekken. We winnen pas referenties in nadat we dat met je hebben afgesproken.

Er zit geen automatisering in onze werving: elke sollicitatie wordt door een mens gelezen, en elke beslissing onderweg wordt door mensen genomen (zie paragraaf 21).

Heb je vragen over je sollicitatie of je gegevens, schrijf dan naar hej@kommahr.com. Je rechten worden beschreven in paragraaf 19.

14

AI en verantwoorde AI

AI is in Komma geen add-on – het is een onderdeel van het platform. Juist daarom zijn we jullie een precies antwoord verschuldigd op drie vragen: Wat doet Karma? Wat doet Karma niet? En wie beslist? Deze paragraaf beantwoordt alle drie.

14.1 Wat Karma is

Karma is de ingebouwde AI-assistent in alle modules van het platform. Wanneer Karma werkt, verwerkt het de persoonsgegevens die al in jullie platform staan – als jullie verwerker en uitsluitend volgens jullie instructies (zie paragraaf 5). Dit is de eerlijke lijst van wat Karma doet:

• beantwoordt vragen over actuele HR-gegevens – bijvoorbeeld "Hoeveel vakantiedagen heeft het team dit jaar nog over?"
• stelt wijzigingen voor in velden en stamgegevens, die een medewerker vervolgens goedkeurt of afwijst
• zet cv’s om in vaardigheidsscores van 0 tot 5 die as voor as kunnen worden uitgelegd
• schrijft concepten voor vacatureteksten
• matcht kandidaten met functies via een transparante gewogen formule – de wegingen zijn zichtbaar, niet verstopt
• signaleert verzuimpatronen zodat een leidinggevende tijdig het gesprek kan aangaan
• legt looncomponenten uit in gewone taal
• vat evaluaties en feedbackprocessen samen
• stelt leerpaden en de bezetting van diensten voor

14.2 Onze acht toezeggingen

Elke AI-functie in Komma is gebouwd op één principe: "Karma maakt een voorstel. Een mens beslist." Dat principe is uitgewerkt in acht toezeggingen, en die gelden voor elke afzonderlijke AI-functie in het platform:

1. Er wordt niets in het systeem vastgelegd totdat een mens het goedkeurt.
2. Geen geautomatiseerde besluiten over mensen – en dit kan niet worden ingeschakeld.
3. De gegevens van de ene klant trainen nooit modellen die voor andere klanten worden gebruikt, en prompts worden niet gebruikt om de onderliggende basismodellen te trainen.
4. Karma neemt het rollenmodel van het platform over en kan een medewerker nooit gegevens tonen die zijn of haar rol zelf niet zou mogen zien.
5. Scores zijn uitlegbaar: gewogen en as voor as – nooit een getal uit een black box.
6. Elk AI-voorstel komt in het niet-bewerkbare auditlog terecht.
7. Jullie kunnen AI uitschakelen.
8. Karma markeert wat het heeft afgeleid en zegt het wanneer het onzeker is.

14.3 Waar we stoppen

Verantwoorde AI gaat net zo goed over wat je bewust niet bouwt. We hebben het volgende welbewust weggelaten:

• individuele productiviteitsscores van medewerkers
• sentimentanalyse van vrije tekst in functioneringsgesprekken en pulsonderzoeken
• automatische afwijzing van sollicitanten
• vertrekrisicoscores die medewerkers bij naam aanwijzen als waarschijnlijke vertrekkers

Deze functies bestaan niet in het product, en ze kunnen niet worden ingeschakeld – niet via een instelling, niet tegen betaling en niet op verzoek.

14.4 De technologie achter Karma

Karma draait op EU-infrastructuur en onder dezelfde beveiligingsregels als de rest van het platform:

• Verwerking in de EU: De AI-modellen achter Karma draaien op Azure OpenAI Service in de regio Sweden Central van Microsoft (EU) – jullie gegevens verlaten de EU niet om door AI te worden verwerkt.
• Geen training: Prompts en output worden nooit gebruikt om de onderliggende basismodellen of modellen voor andere klanten te trainen. De verwerking is vluchtig – wat wordt opgeslagen, is het voorstel in het auditlog.
• Overgenomen toegangsbeheer: Karma neemt het rolgebaseerde toegangsbeheer van het platform over, tot op veldniveau. Een vraag aan Karma kan nooit een achterdeur naar gegevens worden.
• Volledige traceerbaarheid: Elk voorstel wordt vastgelegd in het niet-bewerkbare auditlog (zie paragraaf 15).
• Jullie hebben de controle: Jullie zetten AI aan en uit – de beslissing ligt bij jullie.

En de juridische positie: in Komma wordt geen enkel besluit met rechtsgevolgen of vergelijkbare aanzienlijke gevolgen voor een persoon uitsluitend geautomatiseerd genomen (artikel 22). Karma biedt beslissingsondersteuning – mensen beslissen. Lees meer over geautomatiseerde besluitvorming en profilering in paragraaf 21.

15

Informatiebeveiliging

Een HR-systeem bevat enkele van de meest vertrouwelijke gegevens die een bedrijf heeft: salaris, verzuim, gezondheidsdocumentatie en CPR-nummers. Daarom is beveiliging in Komma geen functie – het is een voorwaarde. We beschermen jullie gegevens met technische en organisatorische maatregelen (artikel 32), en dit zijn de belangrijkste:

• Technologie en infrastructuur
  • Al het verkeer wordt tijdens de overdracht versleuteld (TLS 1.2 of nieuwer), en alle gegevens worden in rust versleuteld.
  • Het platform draait op Microsoft Azure in de regio Sweden Central (EU) – zie ook paragraaf 17 over internationale doorgiften.
  • Geheimen zoals sleutels en certificaten worden bewaard in Azure Key Vault, en systeemonderdelen authenticeren zich met beheerde identiteiten – zonder gedeelde wachtwoorden.
  • Back-ups zijn versleuteld, staan in de EU en worden verwijderd in een doorlopend venster van maximaal 35 dagen.
• Toegang en traceerbaarheid
  • Rolgebaseerd toegangsbeheer tot op veldniveau bepaalt wie wat ziet – een leidinggevende kan bijvoorbeeld zien dat een medewerker afwezig is, zonder de reden te zien.
  • Elke inzage, wijziging en export wordt vastgelegd in een auditlog dat niet kan worden bewerkt.
  • Telemetrie- en foutgegevens worden ontdaan van persoonsgegevens voordat ze worden gelogd.
  • Antwoorden op pulsonderzoeken worden alleen getoond in groepen die groot genoeg zijn om identificatie van individuele personen te voorkomen.
• Mensen en processen
  • Beveiliging maakt deel uit van ons ontwikkelwerk, van ontwerp tot release.
  • Alle medewerkers van Komma hebben een geheimhoudingsverklaring ondertekend en worden ingewerkt in onze beveiligingseisen.
  • We beoordelen de beveiliging van een leverancier voordat we die gaan gebruiken (zie paragraaf 16).

Ons beveiligingsprogramma is opgebouwd rond erkende kaders: de eisen van artikel 32 van de AVG en de principes van ISO 27001. Komma is bezig met het behalen van de ISO 27001-certificering. We schrijven pas "gecertificeerd" op de dag dat een onafhankelijke partij dat heeft vastgesteld.

De volledige catalogus van onze technische en organisatorische maatregelen (TOM’s) staat in bijlage C.

16

Verwerkers en subverwerkers

Onze twee rollen (zie paragraaf 5) zijn hier van belang. Waar wij de verwerkingsverantwoordelijke zijn – de website, leads, support en onze eigen administratie – zijn de leveranciers die we inschakelen onze verwerkers. Waar wij de verwerker zijn van de gegevens die jullie in het platform invoeren, zijn diezelfde soorten leveranciers subverwerkers. De eisen zijn in beide gevallen identiek.

16.1 Hoe we onze verwerkers beoordelen

Geen enkele leverancier verwerkt namens ons persoonsgegevens voordat vier dingen geregeld zijn:

• Een verwerkersovereenkomst. We sluiten een verwerkersovereenkomst die voldoet aan de eisen van artikel 28, lid 3 – gedocumenteerde instructies, geheimhouding, beveiliging, regels voor verdere subverwerkers en verwijdering wanneer de opdracht eindigt.
• Due diligence. We beoordelen de beveiligingsdocumentatie, hostinglocaties en AVG-naleving van de leverancier voordat we tekenen.
• EU eerst. We kiezen leveranciers die persoonsgegevens in de EU/EER verwerken. Al het andere is de uitzondering en vereist een geldig doorgiftemechanisme (zie paragraaf 17).
• Beveiliging op ons eigen niveau. Versleuteling, toegangsbeheer en logging op het niveau dat we van onszelf eisen (zie bijlage C).

16.2 Wie we vandaag inschakelen

Het platform draait op Microsoft Azure in de regio Sweden Central, en Azure OpenAI Service – in dezelfde EU-regio – levert de AI-modellen achter Karma. Microsoft is daarmee onze centrale subverwerker: infrastructuur, database, opslag, back-up en AI. Prompts en output worden niet gebruikt om de onderliggende AI-modellen te trainen (zie paragraaf 14), en mocht Microsoft bij wijze van uitzondering ooit supporttoegang vanuit een derde land nodig hebben, dan geldt het kader in paragraaf 17.

In onze eigen bedrijfsvoering host Vercel de website (kommahr.com en kommahr.dk); onze serverfuncties draaien in de EU (Stockholm), en de pagina’s worden geleverd vanuit het netwerk van Vercel dicht bij jou. Upstash slaat bedrijfsbezoeken en toestemmingsregistraties op in de EU (Frankfurt). Voor ons saleswerk gebruiken we Pipedrive als CRM – leads en klantcontacten worden in de EU verwerkt – en ons salesteam ontvangt berichten over bedrijfsbezoeken in Microsoft Teams. De lettertypen en alle scripts worden geleverd vanaf het eigen domein van de website, zodat je browser niets naar derden stuurt.

De gezaghebbende, altijd actuele lijst van onze subverwerkers is bijlage D, samen met de live lijst waarnaar de verwerkersovereenkomst verwijst.

16.3 Wijzigingen met minstens 30 dagen vooraankondiging

We voegen nooit stilletjes een subverwerker toe of vervangen er een. Jullie krijgen minstens 30 dagen vooraankondiging voordat een nieuwe subverwerker jullie gegevens verwerkt, en jullie kunnen bezwaar maken volgens de procedure in de verwerkersovereenkomst.

16.4 Salarissoftware is jullie keuze – niet onze subverwerker

Als jullie Komma koppelen aan jullie salarissoftware – Zenegy, Danløn, Dataløn, Visma, Lessor of Intect – kiezen jullie de integratie en draait die op jullie instructie. De salarisleverancier is jullie eigen verwerker of een zelfstandige verwerkingsverantwoordelijke, geen subverwerker van Komma. We versturen alleen de gegevens die jullie configuratie ons opdraagt, en de contractuele relatie met de salarisleverancier is die van jullie.

17

Internationale doorgiften

Deze paragraaf legt uit waar je persoonsgegevens fysiek worden verwerkt, en wat er geregeld moet zijn voordat een doorgifte naar een land buiten de EU/EER – een derde land – überhaupt aan de orde kan komen.

17.1 Het uitgangspunt: alles blijft in de EU/EER

Persoonsgegevens in Komma worden opgeslagen en verwerkt in de EU/EER. Het platform – database, bestanden, back-ups en de AI-verwerking achter Karma – draait in de regio Sweden Central van Microsoft Azure in Zweden, en de serverfuncties van de website draaien in de EU (Stockholm) (zie paragraaf 16). We geven jullie gegevens niet door aan derde landen als onderdeel van de normale werking van het platform; de gegevensstromen van de website worden beschreven in paragraaf 17.3.

17.2 Als een doorgifte noodzakelijk wordt

Als een doorgifte naar een derde land ooit noodzakelijk wordt – bijvoorbeeld omdat een subverwerker support levert van buiten de EU/EER – vindt die alleen plaats met een geldig doorgiftemechanisme op grond van hoofdstuk V van de AVG (artikelen 44–49):

• een adequaatheidsbesluit van de Europese Commissie (artikel 45) – voor Amerikaanse ontvangers omvat dit bedrijven die gecertificeerd zijn onder het EU-VS-kader voor gegevensbescherming (Data Privacy Framework, DPF) – of
• standaardcontractbepalingen (SCC’s) (artikel 46, lid 2, onder c), aangevuld met extra maatregelen waar een beoordeling per geval uitwijst dat die nodig zijn, of
• de specifieke afwijkingen in artikel 49, zoals je uitdrukkelijke toestemming, in individuele gevallen.

Voor gegevens in het platform geldt nog een regel: elke dergelijke wijziging doorloopt het aankondigingsproces voor subverwerkers in paragraaf 16 – minstens 30 dagen vooraankondiging en een recht van bezwaar – voordat die van kracht wordt.

17.3 De gegevensstromen van de website naar derde landen

De website heeft drie gegevensstromen die de EU/EER kunnen verlaten. Vercel Inc. (VS) host de website en levert Statistieken zodra je die hebt ingeschakeld; onze serverfuncties draaien in de EU (Stockholm), maar Vercel is een Amerikaans bedrijf. Microsoft (VS) levert de Teams-berichten die ons salesteam over bedrijfsbezoeken ontvangt. Beide doorgiften berusten op het adequaatheidsbesluit van de Europese Commissie voor het EU-VS-kader voor gegevensbescherming (EU–US Data Privacy Framework), waaronder Vercel Inc. en Microsoft Corporation gecertificeerd zijn. Tot slot gaat de reverse DNS-lookup die voor Bedrijfsherkenning wordt gebruikt en die het IP-adres bevat, via de DNS-dienst van onze hostingprovider naar degene die de DNS van het netwerk beheert, en die kan zich buiten de EU/EER bevinden. Google Fonts wordt niet meer gebruikt – de lettertypen worden geleverd vanaf ons eigen domein.

18

Bewaring en verwijdering

We bewaren persoonsgegevens zo lang als het doel vereist, en niet langer (artikel 5, lid 1, onder e). Voor ons betekent dat altijd een concrete termijn of een benoemd criterium voor elke categorie – nooit een open einde.

• Geautomatiseerd waar mogelijk. Het platform heeft ingebouwde bewaarinstellingen, zodat verwijdering automatisch gebeurt – niet omdat iemand eraan denkt het te doen.
• Back-ups lopen binnen 35 dagen af. Onze versleutelde back-ups volgen een doorlopend venster van maximaal 35 dagen, zodat verwijderde gegevens uit de back-ups verdwijnen naarmate het venster opschuift.
• Verwijdering omvat productie en back-ups. Wanneer een klantrelatie eindigt, kunnen jullie alle gegevens van jullie organisatie op elk moment exporteren totdat de verwijdering is uitgevoerd. We verwijderen uit productie binnen 30 dagen na jullie instructie, en alles – inclusief back-ups – wordt uiterlijk 90 dagen na beëindiging verwijderd (volgens de verwerkersovereenkomst).
• Jullie bepalen de bewaartermijnen in het platform. Hoe lang gegevens in Komma blijven, wordt bepaald door de bewaarinstellingen die jullie kiezen (zie paragraaf 12).

Het volledige bewaarschema – elke categorie, elke termijn en het startpunt ervan – staat in bijlage B. En één regel bindt het allemaal samen: we bewaren nooit persoonsgegevens voor het geval dat.

19

Je rechten

Waar Komma de verwerkingsverantwoordelijke is (zie paragraaf 5), heb je de volgende rechten op grond van de Algemene verordening gegevensbescherming (AVG). De tabel laat zien wat elk recht betekent en hoe je het gebruikt.

19.1 De praktische kant

• Schrijf naar hej@kommahr.com. Er is geen speciaal formulier nodig – een gewone e-mail is genoeg.
• We antwoorden binnen 1 maand. Bij complexe verzoeken kan de termijn met maximaal 2 extra maanden worden verlengd – maar in dat geval hoor je binnen de eerste maand van ons, met een toelichting (artikel 12, lid 3).
• Het is kosteloos. We rekenen nooit kosten voor het uitoefenen van je rechten.
• We controleren je identiteit op een evenredige manier. We vragen alleen wat nodig is om er zeker van te zijn dat de gegevens bij de juiste persoon terechtkomen – meestal is het genoeg dat je schrijft vanaf een e-mailadres dat we al kennen.

19.2 Als je gegevens in het Komma-platform van je werkgever staan

Als je werkgever – of een bedrijf waar je hebt gesolliciteerd – Komma gebruikt, is dat bedrijf, niet Komma, de verwerkingsverantwoordelijke voor jouw gegevens in het platform (zie paragraaf 5). Neem dus rechtstreeks contact op met het bedrijf, meestal HR, als je je rechten wilt uitoefenen. We helpen het bedrijf snel en correct te antwoorden onder de verwerkersovereenkomst (DPA), maar we beantwoorden verzoeken over klantgegevens nooit op eigen houtje. Als je verzoek per vergissing bij ons terechtkomt, verwijzen we je naar het bedrijf en leggen we uit waarom.

20

Inbreuken in verband met persoonsgegevens

Een inbreuk in verband met persoonsgegevens is een inbreuk op de beveiliging die leidt tot de onbedoelde of onrechtmatige vernietiging, het verlies of de wijziging van persoonsgegevens – of tot onbevoegde toegang ertoe. In de praktijk kan dat een e-mail zijn die naar de verkeerde ontvanger is gestuurd, een verloren laptop of onbevoegde toegang tot een database.

Onze interne aanpak volgt vier vaste stappen:

1. Indammen: we stoppen de inbreuk en beveiligen de systemen zodat de schade zich niet verspreidt.
2. Beoordelen: we brengen in kaart welke gegevens en welke mensen getroffen zijn, en welk risico de inbreuk voor hen oplevert.
3. Documenteren: we leggen de inbreuk, de gevolgen ervan en onze afhandeling vast in ons interne register van inbreuken.
4. Leren: we nemen de grondoorzaak weg en passen procedures en technische maatregelen aan zodat het niet opnieuw gebeurt.

Wie we informeren, hangt af van onze rol (zie paragraaf 5):

We documenteren elke inbreuk in verband met persoonsgegevens intern – ook die waarvoor geen meldplicht geldt (artikel 33, lid 5). Zo hebben we het overzicht, de lessen en de documentatie om aan Datatilsynet te laten zien.

21

Geautomatiseerde besluiten en profilering

Op grond van de AVG heb je het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking gebaseerd besluit waaraan rechtsgevolgen of vergelijkbare aanzienlijke gevolgen zijn verbonden (artikel 22). Bij Komma is dat geen risico waar we omheen werken – het is een functie die we bewust niet hebben gebouwd: het platform neemt zulke besluiten niet, en het kan daar ook niet voor worden ingesteld. Niet door ons, en niet door onze klanten.

Enkele functies kunnen op profilering lijken – zoals kandidaatmatching in Werving en signalen over verzuimpatronen in Personeel. Het is beslissingsondersteuning, geen besluitvorming:

• Uitlegbare scores: elke score is gewogen en as voor as uitgesplitst – nooit een getal uit een black box.
• Een mens beslist: Karma doet een voorstel; geen enkel voorstel wordt van kracht totdat iemand met de juiste rol het actief goedkeurt.
• Alles wordt gelogd: elk AI-voorstel wordt vastgelegd in het auditlog, dat niet kan worden bewerkt – zodat de basis van een besluit altijd kan worden nagegaan.

Lees meer over hoe Karma werkt – en wat we bewust niet hebben gebouwd – in paragraaf 14.

22

Wijzigingen in dit beleid

De actuele versie van dit beleid is altijd beschikbaar op kommahr.com. De versiegeschiedenis vooraan in dit document laat zien wat er is gewijzigd, en wanneer.

We maken wezenlijke wijzigingen bekend op onze website. Wijzigingen die het platform raken – zoals nieuwe subverwerkers of een gewijzigde verwerking – worden daarnaast vooraf aan onze klanten gemeld, voordat ze van kracht worden.

We herzien dit beleid minstens eenmaal per jaar en werken het bij zodra het product, de wet of onze werkwijze verandert.

23

Contact en klachten

Heb je vragen over dit beleid of over hoe we je persoonsgegevens verwerken, dan ben je altijd welkom om ons te schrijven.

We beantwoorden alle privacyvragen zelf. Er is geen callcenter en geen ticketwachtrij – je e-mail wordt gelezen en beantwoord door een mens bij Komma.

Komma heeft geen functionaris voor gegevensbescherming (FG) aangesteld – daartoe zijn we op grond van artikel 37 van de AVG niet verplicht. In plaats daarvan hebben we een interne verantwoordelijke voor gegevensbescherming aangewezen, en elke vraag over gegevensbescherming wordt rechtstreeks door ons beantwoord via hej@kommahr.com.

Je kunt altijd een klacht over onze verwerking van je persoonsgegevens indienen bij de Deense toezichthouder voor gegevensbescherming (Datatilsynet) (artikel 77). We stellen het op prijs als we de kans krijgen om het eerst recht te zetten – schrijf ons gerust – maar je hebt nooit onze toestemming nodig om een klacht in te dienen.

Bijlage A

Woordenlijst

Deze woordenlijst legt de begrippen in dit beleid uit in gewone taal. De korte versie staat in paragraaf 2 – dit is de volledige.

Bijlage B

Bewaarschema

Dit schema brengt alle bewaartermijnen uit het beleid samen op één plek – met de rol, de termijn en de grondslag voor elke categorie. Hoe verwijdering in de praktijk werkt, staat beschreven in paragraaf 18. De laatste drie rijen zijn de automatische standaardinstellingen voor verwijdering in het platform; daar is de klant de verwerkingsverantwoordelijke en stelt die de bewaartermijnen in via de instellingen van het platform.

Bijlage C

Technische en organisatorische maatregelen

Deze bijlage beschrijft de technische en organisatorische maatregelen (artikel 32) die persoonsgegevens beschermen in het platform – in alle 11 modules en Karma – en in de eigen bedrijfsvoering van Komma.

Ons beveiligingsprogramma is opgebouwd rond erkende kaders – de principes van ISO 27001 en de eisen van artikel 32 – en Komma is bezig met het behalen van de ISO 27001-certificering. We herzien de maatregelen minstens eenmaal per jaar en werken ze bij naarmate de technologie en het dreigingslandschap zich ontwikkelen.

C.1 Vertrouwelijkheid en toegangsbeheer

• Rolgebaseerd toegangsbeheer tot op veldniveau, afgebakend per afdeling, locatie en juridische entiteit. Gevoelige velden zoals salaris en verzuimredenen zijn alleen zichtbaar voor rollen met een werkgerelateerde noodzaak.
• Single sign-on via Microsoft Entra ID met automatische provisioning en deprovisioning – wanneer een medewerker de klant verlaat, wordt de toegang automatisch afgesloten.
• Het principe van minimale rechten: geen enkele rol heeft meer toegang dan de taak vereist.
• Geheimen – sleutels, certificaten en verbindingsreeksen – worden opgeslagen in Azure Key Vault en benaderd via managed identities, nooit in de code.
• Telemetrie en operationele logs worden ontdaan van persoonsgegevens voordat ze worden opgeslagen.
• Elke medewerker van Komma heeft een geheimhoudingsverklaring ondertekend.

C.2 Integriteit

• Versleuteling tijdens transport met TLS 1.2 of hoger en versleuteling in opslag voor zowel de database als de opslag.
• Een niet-bewerkbaar auditlog legt elke inzage, wijziging en export vast – inclusief de voorstellen van Karma.
• API-sleutels zijn per rol afgebakend, met per sleutel een eigen bereik, rate limit en vervaldatum – en salaris, CPR-nummers en verzuimredenen zijn al bij de bron uitgesloten.
• Veilige ontwikkeling: wijzigingen worden getest en beoordeeld voordat ze in productie komen.

C.3 Beschikbaarheid en veerkracht

• Het platform draait op Microsoft Azure in de EU (regio Sweden Central) op redundante infrastructuur.
• Versleutelde back-ups in de EU met een doorlopend venster van maximaal 35 dagen.
• Soft-delete en versiebeheer in de opslag beschermen tegen onbedoeld verwijderen en overschrijven.

C.4 Herstelbaarheid

• Gedocumenteerde procedures voor het herstellen van gegevens en systeemtoegang na een technisch of fysiek incident.
• Herstelprocedures zijn gedocumenteerd, en hersteltests maken deel uit van ons beveiligingsprogramma – een niet-geteste back-up rekenen we niet als back-up.
• Soft-delete en versiebeheer maken het mogelijk om afzonderlijke gegevens snel te herstellen zonder volledig herstel.

C.5 Testen en evalueren

• Kwetsbaarheidsbeoordeling van het platform en de infrastructuur is een vast onderdeel van het beveiligingsprogramma.
• Toegangsreviews: rollen en rechten worden gecontroleerd en aangescherpt wanneer de behoeften veranderen.
• Jaarlijkse herziening van het beveiligingsbeleid en van de maatregelen in deze bijlage.

C.6 Organisatorische maatregelen

• Doorlopende training van alle medewerkers in gegevensbescherming en informatiebeveiliging.
• Een vastgelegd intern proces voor beveiligingsincidenten en inbreuken in verband met persoonsgegevens – zie paragraaf 20.
• Due diligence van leveranciers vóór onboarding en continue opvolging – zie bijlage D.
• Standaardinstellingen in het product die gegevens minimaliseren, zoals automatische verwijdering van sollicitanten na 6 maanden en anonimisering van oud-medewerkers na 5 jaar (zie bijlage B).

Bijlage D

Verwerkers en subverwerkers

We houden onze leverancierslijst bewust kort. Deze bijlage toont ze allemaal, verdeeld over onze twee rollen – zie paragraaf 5 en 16.

D.1 Komma als verwerkingsverantwoordelijke

Leveranciers die persoonsgegevens verwerken in de eigen bedrijfsvoering van Komma – website, aanvragen, support en administratie.

IPinfo en cvrapi.dk zijn geen verwerkers. Hetzelfde geldt voor RIPE NCC: we gebruiken een kopie van het openbare register ervan, zodat er geen IP-adres naar RIPE wordt gestuurd. Bedrijfsherkenning gebruikt een kopie van de database van IPinfo binnen onze eigen serverfunctie, zodat er geen IP-adres naar IPinfo wordt gestuurd (IP-gegevens van IPinfo, gelicentieerd onder CC BY-SA 4.0). cvrapi.dk is een openbare opzoekdienst in Denemarken die alleen de naam van het bedrijf ontvangt.

D.2 Komma als verwerker (het platform)

Subverwerkers die betrokken zijn bij het leveren van het platform. De lijst is bewust kort.

De salarisintegraties (Zenegy, Danløn, Dataløn, Visma, Lessor en Intect) zijn geen subverwerkers van Komma. Ze draaien uitsluitend op jullie instructies en zijn jullie eigen verwerkers of zelfstandige verwerkingsverantwoordelijken – zie paragraaf 16.

We melden wijzigingen in de lijst van subverwerkers minstens 30 dagen van tevoren, met een recht van bezwaar, zoals vastgelegd in de verwerkersovereenkomst (DPA). De actuele lijst is altijd beschikbaar via de verwerkersovereenkomst en op kommahr.com.