Wat u een leverancier vraagt die namens uw mensen verzoeken indient.

Een dienst die namens uw bestuurders verzoeken indient, raakt drie dingen tegelijk: de gegevens van die bestuurders, uw verhouding tot hen als werkgever, en de vraag wie waarvoor verantwoordelijk is. Een standaard leveranciersvragenlijst dekt dat niet.

Hieronder staan de vragen die er wél toe doen, met per vraag waar u op moet letten in het antwoord. Ze werken op elke aanbieder in deze markt, ons inbegrepen.

Over de rolverdeling

Bent u verwerker of verwerkingsverantwoordelijke, en voor welk deel. Bij een dienst die op persoonlijk mandaat handelt is het antwoord meestal “allebei, voor verschillende delen”. Een aanbieder die alleen “verwerker” zegt, heeft er niet over nagedacht of hoopt dat u dat niet doet. Vraag door tot de scheidslijn benoemd is.

Op welke grondslag verwerkt u de gegevens van onze mensen tijdens de meting. De meting gebeurt vóórdat er een machtiging is. Er moet dus iets anders onder liggen, en dat iets hoort benoemd te worden.

Levert u de tekst waarmee wij de betrokkenen vooraf informeren. Zo niet, dan komt die verplichting bij u te liggen terwijl de aanbieder weet wat er gemeten wordt en u niet.

Over de gegevens zelf

Welke velden vraagt u, en welke uitdrukkelijk niet. Een aanbieder die hierop een lijst kan overleggen, heeft dataminimalisatie als ontwerpkeuze behandeld. Een aanbieder die zegt “alleen wat nodig is”, heeft dat niet.

Vraagt u een burgerservicenummer of een kopie van een identiteitsbewijs. Als het antwoord ja is: waarom, en wat gebeurt er met dat document. Voor identificatie tussen een werkgever en zijn eigen bestuurder is het niet nodig, en het legt een dossier aan dat daarna beveiligd moet worden.

Wat gebeurt er met de meetgegevens van iemand die daarna niet meedoet. Vraag naar de termijn én naar het mechanisme. “Op verzoek verwijderd” is zwakker dan “na dertig dagen door een taak”, en dat verschil is te controleren.

Waar staan de gegevens, en wie kan erbij. Inclusief subverwerkers, inclusief de vraag of er buiten de EER wordt verwerkt.

Over wat er wordt beloofd

Wat gebeurt er als een partij weigert. Dit scheidt de aanbieders. Wie stopt bij “verzoek verzonden”, verkoopt een verzending. Wie doorgaat, hoort te kunnen zeggen wat de vervolgstappen zijn en hoe die worden vastgelegd.

Wat is uw slagingspercentage, en hoe telt u dat. Let vooral op de tweede helft van de vraag. Een percentage zonder telmethode is geen cijfer maar een claim, en een aanbieder die niet kan uitleggen wat de noemer is, heeft er geen.

Welk deel van uw dienst is nog niet gebouwd. Iedere aanbieder in deze markt heeft zulke onderdelen. Wie zegt van niet, verkoopt u iets anders dan wat er staat.

Wat gebeurt er met onze gegevens als u ermee stopt. Vraag naar het exporteren van het dossier, niet alleen naar verwijdering.

Onze eigen antwoorden, voor zover ze hier passen

Het zou vreemd zijn deze lijst te publiceren en de eigen antwoorden weg te laten. In het kort, met de links naar waar het volledig staat.

Wij zijn verwerkingsverantwoordelijke voor de verzoeken zelf, want die gaan op persoonlijk mandaat van de betrokkene, en verwerker voor het deel dat in opdracht van de organisatie gebeurt. Wij vragen geen burgerservicenummer en bewaren geen identiteitsbewijs. De werkgever ziet aantallen, nooit een individueel dossier.

Wij hebben geen slagingspercentage. Wij publiceren eerst hóé wij zouden tellen en pas daarna wat, en tot die tijd staat er geen getal.

En er is een lijst van wat er nog niet af is — screenshotbewijs, een publieke API, het deelnemersportaal, en aan onze eigen kant een DPIA, een pentest en een ISO-routekaart. Die lijst staat op één plek en wordt daar bijgehouden.

De volledige lijst van wat er nog niet af is→

Waarom wij u de stok geven

Deze vragen zijn ongemakkelijk voor ons. De vraag over het slagingspercentage heeft geen goed antwoord, en de vraag over wat er nog niet gebouwd is, heeft een lange.

Ze staan er toch, omdat dit product wordt gekocht ná een toets door iemand die er verstand van heeft. Die toets komt er hoe dan ook. Een aanbieder die de vragen zelf aanreikt, verliest de deals waarin hij tekortschiet — en wint de deals waarin de concurrent op dezelfde vragen slechter scoort maar er niet over begint.

Welke velden wij bewust niet vragen→

Of uw leverancier verwerker is of verantwoordelijke→

Waar dit vandaan komt