Privacyverklaring

Je account

Naam, e-mailadres, taal, je rol of toegang per app, of je account actief is, en je wachtwoord. Het wachtwoord wordt alleen versleuteld (als hash) opgeslagen; niemand kan het lezen.

Gegevens uit Shiftbase

AIFS beheert zijn medewerkers in Shiftbase. De server van de apps neemt daaruit alleen voornaam, achternaam, e-mailadres, geboortedatum, personeelsnummer, datum in dienst en of je in Shiftbase actief bent over. Daarmee bereidt AIFS je uitnodiging voor, blijft je naam actueel en wordt je account geblokkeerd als je in Shiftbase wordt gedeactiveerd. Het AIFS Portal vergelijkt daarnaast naam en geboortedatum met certificaten die je aanlevert.

Andere gegevens uit Shiftbase, zoals adres, bankgegevens of BSN, neemt de server niet over. Hij leest alleen en schrijft niets terug naar Shiftbase. Geboortedatum en personeelsnummer uit Shiftbase zien alleen beheerders, ook jij ziet ze niet in de apps. Externen staan niet in Shiftbase; van hen kent AIFS in de apps alleen naam en e-mailadres.

Waar de gegevens vandaan komen

• Van jou: wat je invult, uploadt en fotografeert.
• Van beheerders van AIFS: bijvoorbeeld je uitnodiging, je rol, of je een rijbewijs hebt en berichten aan jou.
• Van collega’s: bijvoorbeeld als iemand jou in een melding als betrokkene noemt.
• Uit Shiftbase (zie hierboven).
• Automatisch: technische gegevens bij elke verbinding (zie hieronder).

Technische gegevens

Bij elke aanmelding en elk verzoek aan de server worden je IP-adres en het tijdstip verwerkt. Aanmeldingen worden in een beveiligingslogboek vastgelegd.

De apps verzamelen geen locatiegegevens, geen contacten en geen apparaat-ID’s. Ze sturen geen pushmeldingen; herinneringen komen per e-mail. Er zijn geen trackers, geen analyse en geen reclame.

Doelen en rechtsgrond

AIFS gebruikt de gegevens om het werk te organiseren en aan te tonen: certificaten en termijnen bijhouden, AIFS-toetsen afnemen, audits uitvoeren, incidenten melden en onderzoeken, medewerkers informeren, tegenover luchtvaartmaatschappijen en de luchthaven aantonen dat alles in orde is, en de accounts beheren en beveiligen.

De rechtsgrond is art. 6 lid 1 sub b AVG, voor zover het om je werk voor AIFS gaat, en art. 6 lid 1 sub f AVG: het gerechtvaardigd belang van AIFS bij aantoonbare kwaliteit en veiligheid en bij een veilige toegang. Voor gezondheidsgegevens in AIFS SMS geldt daarnaast art. 9 lid 2 sub b AVG (zie AIFS SMS).

Beveiliging

• De verbinding tussen app of browser en server is versleuteld (HTTPS).
• Wie wat mag zien en wijzigen, dwingt de database zelf af, niet alleen de app.
• Bestanden en foto’s staan in een niet-openbare opslag en zijn alleen voor bevoegden op te vragen, via links die kort geldig zijn.
• Bij het inloggen en bij “Wachtwoord vergeten?” controleert Cloudflare Turnstile of er een mens inlogt en geen geautomatiseerd programma.

Supabase (opslag)

Accounts, certificaten, toetsgegevens, rapporten, meldingen, berichten en alle bestanden staan in een database en een niet-openbare opslag bij Supabase, in een datacenter in Frankfurt am Main (Duitsland). Supabase verwerkt ze als verwerker in opdracht van AIFS. De apps maken voor je gegevens rechtstreeks verbinding met Supabase. Supabase is gevestigd in de VS; toegang vanuit de VS, bijvoorbeeld voor onderhoud, valt niet uit te sluiten.

Cloudflare

Cloudflare, Inc. (gevestigd in de VS, met datacenters wereldwijd) doet drie dingen:

• Het levert de websites van de apps en deze website. Daarbij verwerkt Cloudflare technisch het IP-adres en het tijdstip van het verzoek. Je gegevens in de apps lopen niet via Cloudflare. Deze website zelf gebruikt geen cookies en geen scripts.
• Turnstile: bij het inloggen en bij “Wachtwoord vergeten?” verwerkt Cloudflare technische gegevens van je browser of apparaat en je IP-adres, om aanvallen door geautomatiseerde programma’s tegen te houden.
• Workers AI: vertalingen en AI-functies voor beheerders. Welke teksten daarheen gaan, staat per app hieronder.

Voor Workers AI zegt Cloudflare niet toe dat de verwerking in de EU plaatsvindt; verwerking in de VS valt daarom niet uit te sluiten. Cloudflare bewaart de teksten na het antwoord niet en traint er geen modellen mee.

Postmark (e-mail)

E-mails van de apps (uitnodigingen, codes bij “Wachtwoord vergeten?”, herinneringen en korte berichten over je toegang) verstuurt Postmark (gevestigd in de VS). Postmark krijgt daarvoor je e-mailadres en de inhoud van de mail.

Doorgifte naar de VS

Supabase, Cloudflare en Postmark zijn verwerkers van AIFS. Voor zover daarbij gegevens naar de VS worden doorgegeven, gebeurt dat op basis van de EU-modelcontractbepalingen (art. 46 lid 2 onder c AVG); Cloudflare is daarnaast gecertificeerd onder het EU-US Data Privacy Framework (adequaatheidsbesluit van de Europese Commissie, art. 45 AVG).

App stores

De apps krijg je via de App Store van Apple, via Google Play of als installatiebestand via een link van AIFS. Apple en Google verwerken daarbij gegevens volgens hun eigen voorwaarden. De apps sturen hun geen gegevens van jou. Heb je op je toestel toegestaan dat crashrapporten met ontwikkelaars worden gedeeld, dan kunnen Apple of Google crashrapporten en statistieken zonder naam en zonder inhoud uit de apps aan de ontwikkelaar geven.

Welke gegevens

• Certificaten: de soort, de datum waarop je het certificaat hebt gehaald, de daaruit berekende verloopdatum (bij onbeperkt geldige certificaten is er geen) en het bestand. Nieuwe bestanden slaat het portaal alleen als pdf op.
• Schipholpas: alleen de verloopdatum, niet de pas zelf.
• Rijbewijs: beheerders kunnen bij je account aangeven dat je een rijbewijs hebt. Dat bepaalt of certificaten voor chauffeurs voor jou verplicht zijn. Je vult dan zelf de verloopdatum in (alleen de datum, niet het rijbewijs); beheerders kunnen die zien en wijzigen.
• AIFS-toetsen: elke poging met je antwoorden, de uitslag en het tijdstip. Als je slaagt, ontstaat een AIFS-certificaat met nummer, controlecode en pdf, met je naam erop.
• Training: beheerders zetten trainingsmateriaal (pdf of link) klaar voor iedereen, voor chauffeurs of voor gekozen personen. Een link opent een website buiten het portaal; daarvoor gelden de voorwaarden van die website.
• Read & Sign: zie hieronder.

Herkenning bij het uploaden

In de browser leest je apparaat bij het uploaden naam, geboortedatum, training en datum uit het certificaat, zodat je minder hoeft in te vullen. In de app gebeurt dat niet; daar vul je de datum zelf in. Het bestand en de gelezen tekst gaan daarvoor naar geen enkele externe dienst; de programmabestanden voor de herkenning komen van de website van het portaal zelf.

Naam en geboortedatum worden opgeslagen zoals ze op het certificaat staan, samen met het certificaat, plus of ze zijn herkend of door jou zijn gewijzigd. De herkenning is alleen een voorstel: je bevestigt voordat er iets wordt opgeslagen. Passen ze niet bij de gegevens uit Shiftbase, dan kan het portaal je daarvoor waarschuwen; opslaan kan toch. Deze gegevens zien alleen jij en de beheerders.

Foto’s en camera

De app opent je foto’s of de camera alleen als je daar bij het uploaden op tikt, en alleen voor die ene afbeelding. Een foto of screenshot wordt op je apparaat omgezet naar een pdf; locatie- en andere afbeeldingsgegevens worden daarbij verwijderd. Alleen die pdf wordt opgeslagen. Kopieën in de tussenopslag van de app verwijdert de app zodra ze zijn gelezen.

Controlepagina voor AIFS-certificaten

Elk AIFS-certificaat heeft een QR-code. Die leidt naar een controlepagina die zonder inloggen openstaat, zodat een luchtvaartmaatschappij of de luchthaven het certificaat kan controleren. Wie de QR-code of de controlecode heeft, ziet daar het certificaatnummer, je naam, de naam van de toets, de datum “geldig tot” en de status: geldig, verlopen, ingetrokken, niet meer geldig omdat de toets is bijgewerkt, of testcertificaat. Meer toont de pagina niet.

De controlecode is een lange, willekeurige code, niet het volgnummer. Geef de QR-code alleen aan wie je certificaat mag zien.

Herinneringen per e-mail

Het portaal mailt je voordat iets verloopt: bij certificaten 30 en 7 dagen ervoor en op de verloopdag, bij de Schipholpas en het rijbewijs 90, 30 en 7 dagen ervoor. Ontbreekt een verplicht certificaat, dan krijg je daarover een mail en daarna elke maandag één overzicht van wat ontbreekt of verlopen is, tot alles er is. Wat tegelijk aan de beurt is, komt in één mail.

De mails komen alleen overdag (ongeveer tussen 7 en 21 uur), in de taal van je account en alleen naar jou. Ze noemen wat er verloopt en wanneer, met een link naar het portaal. Geblokkeerde accounts en beheerders krijgen geen herinneringen. Beheerders zien wel welke herinneringen wanneer naar wie zijn gegaan en of er een niet kon worden bezorgd.

Read & Sign

Na een incident moet AIFS de betrokken medewerkers informeren. Beheerders sturen daarvoor berichten in het portaal (in het Nederlands, Engels of Duits, soms met bijlagen). Je leest ze en bevestigt. Tot je alle open berichten hebt bevestigd, toont het portaal je alleen die berichten.

Per bericht en ontvanger slaat het portaal op: wanneer je bent toegevoegd, of en wanneer je hebt bevestigd (tijd van de server), welke versie je hebt gezien (taal en een vingerafdruk van de inhoud), je naam en e-mailadres op het moment van bevestigen, en welke herinneringen wanneer zijn verstuurd. Een verstuurd bericht kan niet meer worden gewijzigd en een bevestiging niet worden teruggedraaid.

Dit dient als bewijs dat alle betrokkenen zijn geïnformeerd. Beheerders zien alle berichten en wie wel en niet heeft bevestigd, en kunnen de stand als Excel-bestand downloaden. Jij ziet alleen de berichten aan jou; een ingetrokken bericht alleen als je het al had bevestigd.

Heb je niet bevestigd, dan krijg je een e-mail op de dag van het bericht, na 3 en na 7 dagen. Die mail bevat alleen je naam in de aanhef en een link naar het portaal, geen inhoud van het bericht, geen namen van betrokkenen en geen bestandsnamen. Berichten, bijlagen en bevestigingen blijven bewaard, ook als je account wordt geblokkeerd.

Vertaling

Wat beheerders zelf aanmaken (namen van certificaatsoorten, AIFS-toetsen met vragen en antwoorden, trainingsmateriaal voor iedereen en berichten bij Read & Sign) vertaalt het portaal automatisch, zodat je het in jouw taal ziet. Daarvoor gaan die teksten naar Cloudflare Workers AI. Jouw eigen invoer (certificaten, toetsantwoorden) en je persoonsgegevens gaan daar niet naartoe. De vertalingen staan daarna met de andere gegevens in de database in Frankfurt.

AI-voorstel voor de AIFS-toets

Na een onderzocht incident kunnen beheerders laten controleren of de AIFS-toets moet worden aangepast. Daarvoor gaan de tekst uit het incident (uit AIFS SMS) en de vragen en antwoorden van de toets naar Cloudflare Workers AI. Bekende namen, vluchtnummer, registratie en luchtvaartmaatschappijen worden in de tekst uit het incident vooraf zwartgemaakt.

Het voorstel (een nieuwe of gewijzigde vraag, of de melding dat de toets het incident al dekt, met een korte reden) staat daarna in de database en is alleen zichtbaar voor beheerders. Een beheerder beslist of het wordt overgenomen; zonder beheerder verandert er niets aan de toets.

Wie wat ziet

Medewerkers zien alleen hun eigen certificaten, Schipholpas, rijbewijsdatum, toetspogingen en berichten. De juiste antwoorden van de toetsen zien ze nooit. Beheerders van AIFS zien dat van alle medewerkers, plus de teamlijst (naam, e-mail, rol, status), de herinneringen en bij certificaten de herkende gegevens en opmerkingen (bijvoorbeeld “niet herkend” of “met de hand gewijzigd”; die blokkeren niets). Deze regels dwingt de database af.

Op je toestel en in je browser

Om je aangemeld te houden, bewaart het portaal je aanmeldsessie en de laatst gekozen taal in de opslag van de app of van je browser. Bij het uitloggen wordt de sessie verwijderd. Op Android is de opslag van de app uitgesloten van back-ups. Een certificaat dat je in de app opent, blijft in de tussenopslag van de app tot je het volgende bestand opent of de app opnieuw start. Log op een gedeeld apparaat na gebruik uit.

Bewaren

Verwijdert een beheerder een certificaat, dan verdwijnt het uit beeld en wordt het bestand dat je had aangeleverd uit de opslag gehaald; bij een AIFS-certificaat toont de controlepagina dan “ingetrokken”. De pdf van een AIFS-certificaat blijft in de opslag tot AIFS na de bewaartermijn opruimt.

Welke gegevens

• Rol: beheerder, supervisor of auditor.
• Rapporten: het sjabloon, je invoer (bijvoorbeeld vluchtnummer, registratie, standplaats, resultaten, opmerkingen), de foto’s, je naam en wanneer je de audit bent begonnen en hebt verstuurd.

Vluchten van Schiphol

Het startscherm toont de vluchten van AIFS op Schiphol (vluchtnummer, registratie, standplaats en tijden). Die gegevens haalt de server van AIFS zelf bij Schiphol op; de app vraagt ze bij de server op, niet bij Schiphol. Er gaan daarbij geen gegevens over jou naar Schiphol.

Vertaling

De teksten van de sjablonen die beheerders aanmaken (naam, secties, controlepunten en labels van tekstvelden) worden automatisch vertaald naar de talen van de app. Na het versturen van een rapport gaan ook je opmerkingen en de teksten van je tekstvelden naar Cloudflare Workers AI en worden ze vertaald naar het Engels en het Nederlands, zodat rapport en export voor de luchtvaartmaatschappij in één taal staan.

Resultaten, vluchtgegevens, foto’s, je naam en je andere persoonsgegevens gaan daar niet naartoe; schrijf daarom geen namen in opmerkingen. Er wordt één keer vertaald, op de server. De vertalingen staan bij het rapport en zijn alleen zichtbaar voor wie het rapport mag zien.

Wie wat ziet

Auditors zien alleen hun eigen rapporten. Supervisors zien alle rapporten met foto’s en de naam van wie de audit heeft gedaan; zij beheren niets. Beheerders zien alle rapporten met foto’s en de lijst van personen met toegang tot de app (naam, e-mail, rol, status); zij beheren sjablonen en accounts en nodigen uit. Deze regels dwingt de database af.

Op je telefoon en in je browser

Zodat de app ook zonder netwerk werkt, staan op de telefoon: je aanmelding (tot je uitlogt), de actieve sjablonen, het woordenboek met vertalingen, de gekozen taal, begonnen audits (concepten) met hun foto’s en verstuurde rapporten die nog op netwerk wachten (postvak uit). Een rapport in het postvak uit blijft op de telefoon tot de server het heeft bevestigd; daarna verwijdert de app de foto’s ervan. Concepten en wachtende rapporten blijven ook na het uitloggen op de telefoon, tot je weer inlogt.

De app is uitgesloten van de Android-back-up naar de cloud. Zet je bij een nieuwe telefoon de gegevens direct over (via kabel of draadloos), dan kan Android de app-gegevens meenemen. Installeer je de app via een link, dan komt het installatiebestand uit een openbare map bij Supabase in Frankfurt. Bij het starten en als je de app weer opent, vraagt de app bij Supabase of er een nieuwe versie is; zoals bij elk verzoek worden daarbij IP-adres en tijdstip verwerkt, maar de app stuurt geen gegevens over jou mee.

In de webversie staan je aanmelding, de gekozen taal, het woordenboek en begonnen audits in de opslag van de browser. De aanmelding eindigt bij het uitloggen; de rest verwijder je via de websitegegevens in de instellingen van je browser.

Camera en foto’s

De camera wordt alleen gebruikt als je bij een controlepunt een foto maakt. De app vraagt niet om je locatie. Je maakt de foto met de camera-app van je telefoon; of die locatiegegevens in de originele foto zet, hangt af van de instellingen daarvan. De app slaat een verkleinde versie zonder extra gegevens zoals locatie op en uploadt alleen die.

Het origineel verwijdert de app zodra de foto is opgeslagen; wordt de app eerder afgesloten, dan kan het in de cache van de app blijven tot Android die leegmaakt. Sommige camera-apps zetten daarnaast een kopie in de galerij van de telefoon; daarvoor gelden de instellingen van je telefoon.

Exports

Beheerders en supervisors kunnen rapporten als pdf of Excel-bestand exporteren. Het bestand ontstaat op het apparaat en verlaat het alleen als het via het deelmenu wordt verstuurd, bijvoorbeeld per mail of messenger; daarvoor gelden de voorwaarden van die dienst. Op het apparaat blijft alleen de laatste export in de cache van de app. In de webversie ontstaat de pdf via het afdrukvenster van de browser en komt het Excel-bestand in de downloadmap.

Bewaren

Rapporten dienen AIFS als bewijs tegenover luchtvaartmaatschappijen. Beheerders kunnen afzonderlijke rapporten met foto’s verwijderen. Wat op de telefoon staat, verwijder je in de Android-instellingen bij de app onder “Opslag” of door de app te verwijderen; concepten en nog niet verstuurde rapporten gaan daarbij verloren. Verstuurde exports liggen bij de ontvanger.

Welke gegevens

• Toegang: sinds wanneer je toegang hebt tot AIFS SMS.
• Melding: korte titel, soort en ernst, je naam en wanneer je hebt gemeld, tijdstip, gebied en plaats, vluchtnummer, registratie van het vliegtuig, beschrijving, betrokkenen (namen), supervisor, directe maatregelen en foto’s.
• Onderzoek: de teksten van het onderzoek.
• Afsluiten: wie een incident wanneer heeft afgesloten.
• Aanvullingen achteraf bij een afgesloten incident: tekst, foto’s, je naam en wanneer je de aanvulling hebt toegevoegd.
• Verloop: wie wanneer wat heeft gedaan, bijvoorbeeld een veld gewijzigd, het incident afgesloten of een aanvulling toegevoegd.

Gezondheidsgegevens

Bij een melding wordt vastgelegd of iemand gewond is geraakt (ja/nee) en of medische hulp nodig was (ja/nee). Aparte velden voor de aard of ernst van een verwonding zijn er niet. Schrijf daarom geen details over verwondingen in de beschrijving: die gaat mee met het AI-concept. Voor deze gegevens geldt daarnaast art. 9 lid 2 sub b AVG: ze worden verwerkt om verplichtingen uit de arbeidsveiligheid na te komen.

AI-concept voor een mededeling

Alleen beheerders kunnen voor een volledig onderzocht incident een concept voor een mededeling aan medewerkers laten maken. Daarvoor wordt uit het incident een tekst opgebouwd: soort, gebied, plaats, datum, of er gewonden waren (ja/nee), de beschrijving, wat het onderzoek heeft opgeleverd en wat vanaf nu geldt. Of medische hulp nodig was, gaat niet mee. Bekende namen, vluchtnummer, registratie en luchtvaartmaatschappijen worden vooraf zwartgemaakt, en de beheerder controleert de tekst voordat die naar Cloudflare Workers AI gaat. Zwartgemaakt wordt alleen wat AIFS SMS kent; schrijf daarom geen namen in de beschrijving.

Het concept wordt niet in AIFS SMS opgeslagen. Draagt een beheerder het over aan het AIFS Portal, dan staat het daar als concept bij Read & Sign; het wordt pas verstuurd als een beheerder het in het portaal heeft gecontroleerd en ontvangers heeft gekozen. Ook het AI-voorstel voor de AIFS-toets gebruikt tekst uit een incident (zie AIFS Portal).

Wie wat ziet

Je ziet alleen je eigen meldingen, met hun aanvullingen achteraf en hun verloop. Beheerders van AIFS zien alle meldingen met foto’s, onderzoek en aanvullingen achteraf en beheren wie toegang heeft; daarbij zien ze ook de e-mailadressen van medewerkers. Welke mededelingen en toetsvoorstellen uit een incident zijn gemaakt, staat alleen in het verloop dat beheerders zien. Bij het melden ziet iedereen met toegang de namen van collega’s, om betrokkenen te kunnen kiezen. Deze regels dwingt de database af.

In je browser

Concepten en nog niet verstuurde meldingen staan in de opslag van je browser, de foto’s daar verkleind. Ook je aanmelding en de gekozen taal staan daar. Concepten en nog niet verstuurde meldingen blijven ook na het uitloggen in de browser staan. De aanmelding eindigt bij het uitloggen; al het andere verwijder je via de websitegegevens in de instellingen van je browser. Log op een gedeelde computer altijd uit.

Camera en foto’s

De camera wordt alleen gebruikt als je op de knop voor een foto drukt; een foto uit de galerij alleen als je die kiest, en het origineel daar blijft ongewijzigd. AIFS SMS vraagt niet om je locatie. Foto’s worden verkleind en zonder extra gegevens zoals locatie- en apparaatgegevens (EXIF) opgeslagen; alleen deze versie gaat naar de server.

Bewaren

Meldingen dienen AIFS als bewijs. Een afgesloten incident kan niet meer worden gewijzigd, ook een aanvulling achteraf niet. Wordt je toegang ingetrokken, dan is AIFS SMS voor jou geblokkeerd; je meldingen blijven bewaard.