Anonimiteit & privacy
Anonimiteit is meer dan een belofte. Het zit in hoe het gebouwd is.
Kan een werkgever zien wat één chauffeur antwoordt? Nee. Het dashboard toont alleen wat een groep samen antwoordde. Gesprekken met Joy blijven dicht voor de werkgever: vertrouwelijk, maar niet anoniem.
- 7
- chauffeurs per team, minimaal
- 5
- antwoorden voordat een score verschijnt
- 10
- schrijvers voordat er een thema ontstaat
Deze grenzen gelden voor elke werkgever en gaan nooit lager, ook niet met een nieuwe overeenkomst. Hoger mag.
Hoe het werkt
Waar de naam eraf gaat
Vragenlijst
- Chauffeur meldt zich zelf aan, met een nummer dat die zelf opgeeft
- Uitnodiging een persoonlijke link in WhatsApp
- Naam eraf bij het inleveren
- Antwoord met team, dag en taal, zonder naam
- Vanaf 5 antwoorden, in een team van 7 of meer
- Groepscijfers per team, depot en bedrijf
Joy
- Chauffeur schrijft Joy in WhatsApp
- Gesprek en geheugen vertrouwelijk, niet anoniem: het hangt aan het nummer van de chauffeur
- Dicht het dashboard kan er niet bij
- Alleen een melding die de chauffeur eerst leest en goedkeurt
Welke gegevens erin gaan, en van wie
Wat de werkgever aanlevert
Per chauffeur naam, team, geboortedatum, taal, of die in dienst is en of die een telefoon van de zaak gebruikt; geen telefoonnummer. De geboortedatum herkent een chauffeur bij het aanmelden. We bewaren hem als onleesbare code: de werkgever kan de datum wel invullen, maar niet teruglezen.
Het telefoonnummer
Dat geeft de chauffeur zelf, nooit de werkgever, en de werkgever ziet het niet. Na uit dienst of VERGEET MIJ bewaren we het alleen als onleesbare code, bij de gesprekken met Joy of bij een STOP.
Wie de berichten bezorgt: WhatsApp
Link en gesprekken lopen via de WhatsApp Cloud API van Meta. Meta ziet nummer en tekst en bewaart berichten volgens eigen opgave tot dertig dagen.
Wie de tekst leest: een taalmodel
Joy is een taalmodel van Mistral AI, een Frans bedrijf, dat wij aansturen via het Europese adres van Mistral; wat een chauffeur haar schrijft, leest dat model om te antwoorden. Open antwoorden leest een model pas nadat we er telefoonnummers, e-mailadressen, kentekens en met een hoofdletter geschreven namen van de chauffeurslijst en het dashboard uit hebben gehaald.
Wat we beloven
En waar het ophoudt
-
De werkgever ziet nooit een los antwoord.
- Zo is het gebouwd
- Het dashboard mag in de database geen losse antwoorden lezen, alleen groepscijfers. Een score verschijnt pas vanaf 5 antwoorden, in een team van minstens 7 chauffeurs.
- Waar de grens ligt
- In een kleine groep kan een uitkomst soms naar iemand wijzen; daarom tonen we nooit hoeveel mensen antwoordden. Iemand op de lijst zetten die er niet werkt, of je aanmelden in naam van een chauffeur, houdt de techniek niet tegen; dat verbieden de voorwaarden.
Hoe het dashboard aan zijn cijfers komt
Zo werkt het
Het dashboard heeft een eigen databaserol, die losse antwoorden niet mag lezen. De respons zie je als woord (goed, matig of laag), vanaf 25 chauffeurs als band van tien procentpunten. Een team begint met minimaal 7 chauffeurs. Zakt het later onder de 7 werkende chauffeurs, dan toont het dashboard voor dat team niets meer.
-
Een antwoord wordt zonder naam bewaard.
- Zo is het gebouwd
- Bij het inleveren gaat de naam van de uitnodiging af. Het antwoord zelf staat opgeslagen met alleen het team, de dag en de taal.
- Waar de grens ligt
- Zonder naam is niet altijd onherkenbaar: wat iemand in eigen woorden schrijft, kan zelf naar die persoon wijzen. Daarom leest de werkgever open antwoorden nooit.
Hoe de naam van een antwoord loskomt
Zo werkt het
Bij het inleveren halen we de naam van de persoonlijke uitnodiging, in dezelfde databasestap waarin de antwoorden worden opgeslagen. Een ongebruikte uitnodiging verliest de naam de nacht nadat de link verloopt. Alleen als een chauffeur er zelf ja op zegt, bewaart Joy diens eigen cijfers, voor de chauffeur en nooit voor de werkgever.
Wat dit niet tegenhoudt
Wie bij ons de database beheert, kan technisch bij de antwoorden, en dat legt het systeem niet vast. Een werkgever kan ons niet vragen een antwoord aan een chauffeur te koppelen; dat hebben we zo afgesproken.
-
Meedoen is vrijwillig, en de werkgever ziet niet wie meedoet.
- Zo is het gebouwd
- Per team ziet de werkgever één woord over aanmeldingen: te weinig chauffeurs, nog niet genoeg of genoeg. Niet wie, en niet wie STOP stuurde. Een team dat net is samengesteld of maar net groot genoeg is, krijgt geen woord, zodat "genoeg" nooit "iedereen" betekent.
- Waar de grens ligt
- Wie met veel geduld steeds andere teams maakt, kan het soms toch afleiden. Dat zien wij, en dan spreken we de werkgever erop aan. Niet proberen uit te zoeken wie meedoet en niemand benadelen: dat is een afspraak in de voorwaarden. De twee oprichters zien per team hoeveel chauffeurs zich aanmeldden en antwoordden, ook als dat er minder dan 5 zijn. Ze zien ook per maand wat ze kozen, en van metingen die voorbij zijn de scores met het aantal antwoorden. Namen staan er niet bij. Dat is om de pilot te begeleiden, en ze delen het met niemand.
Aanmelden, stoppen en wat de werkgever daarvan merkt
Zo werkt het
Een chauffeur meldt zich zelf aan, met een nummer dat die zelf opgeeft. Nummer, taalkeuze, een ja aan Joy en STOP ziet de werkgever niet. Wie zich niet zelf aanmeldt, krijgt van ons niets. Wordt een chauffeur toch benadeeld, dan meldt die dat via Joy aan ons.
-
Gesprekken met Joy blijven dicht voor de werkgever.
- Zo is het gebouwd
- Het dashboard kan niet bij gesprekken, bij wat Joy onthoudt of bij de cijfers die een chauffeur haar liet bewaren: niet als tekst, niet als samenvatting.
- Waar de grens ligt
- WorkerJoy weet van welk nummer iemand schrijft, en zolang die aangemeld is ook wie het is. Wie bij ons de database beheert, kan er technisch bij, en dat legt het systeem niet vast. Op een telefoon van de zaak staat het gesprek ook op het toestel; dat de werkgever het daar niet leest, is een afspraak in de voorwaarden.
Wanneer wij een gesprek openen
Zo werkt het
In twee gevallen openen we een gesprek via ons nakijksysteem, en wie het opent, wordt vastgelegd; een chauffeur kan opvragen wie dat was. Verder alleen om het een chauffeur te sturen die vraagt wat we bewaren. Joy is geen hulpdienst: bij acute nood belt een chauffeur zelf 112. Vertelt een chauffeur Joy dat er gevaar is, dan zegt ze in datzelfde antwoord dat die 112 moet bellen; wij schakelen niemand in. Kijken wij voor support mee in een dashboard, dan wordt dat vastgelegd.
Veiligheid
Gaat een gesprek over iemands veiligheid, dan markeert Joy het en zegt ze dat meteen. Niemand leest het, tenzij de chauffeur later ja zegt op haar eenmalige vraag of iemand van ons het mag teruglezen. Daardoor komt niemand in actie: wij bellen niemand en sturen geen hulp. Door de markering gaat het gesprek nergens heen, niet naar de werkgever en niet naar de bedrijfsarts.
Een chauffeur die ons vraagt te kijken
Vindt een chauffeur dat Joy verkeerd antwoordde, dan vraagt die Joy het gesprek te markeren; pas na een JA op haar vaste vraag markeert ze het, en lezen wij het terug, met de twee weken ervoor, en niets anders. Tot iemand het opent, kan de chauffeur het terugtrekken.
Wat dit niet tegenhoudt
Wie bij ons de servers beheert, en onze hosting Brainpod, kan er technisch ook bij. Op een telefoon van de zaak staat het gesprek ook in WhatsApp, waar wij niet bij kunnen.
-
Een melding komt alleen aan als de chauffeur dat wil.
- Zo is het gebouwd
- De chauffeur leest eerst de tekst. Pas na een ja verschijnt die de dag erna in het dashboard, in het Nederlands, zonder naam, team of gesprek.
- Waar de grens ligt
- Uit de inhoud kan een werkgever soms raden van wie een melding komt. Joy zegt dat erbij voordat de chauffeur ja zegt.
Wie een melding ziet, en hoe lang
Zo werkt het
Zonder ja van de chauffeur gaat er niets naar de werkgever. Alleen een beheerder of HR-analist ziet een melding. Wie haar deed, uit welk gesprek en in welke taal, ziet de werkgever niet.
Wordt een chauffeur benadeeld om wat die zei of juist niet zei, dan kan die dat via Joy aan ons melden, niet aan de werkgever. We bewaren dat hooguit een jaar, zonder gesprek of nummer. Uit onszelf zeggen we de werkgever er niets over; alleen als de chauffeur dat wil, of als de wet of een rechter het oplegt.
Wat dit niet tegenhoudt
Wat de chauffeur zelf in de melding zet, kan naar die chauffeur wijzen. Een e-mailadres of telefoonnummer houden we tegen; in plaats van een naam schrijft Joy een rol, maar dat is een regel voor het taalmodel en kan misgaan.
-
Open antwoorden leest de werkgever nooit.
- Zo is het gebouwd
- Een taalmodel leest de tekst alleen als minstens 10 chauffeurs uit één team in een gesloten meting schreven, en maakt er dan thema's van. De rest leest niemand, en die wissen we de nacht nadat de meting sloot.
- Waar de grens ligt
- In een kleine groep kan een thema naar iemand wijzen. Namen en nummers halen we eruit voordat een taalmodel de tekst leest; dat lukt niet altijd.
Thema's en het wissen
Zo werkt het
Een thema zegt niet hoeveel mensen erover schreven, en neemt nooit acht woorden achter elkaar uit een antwoord over; een kortere zin kan nog herkenbaar zijn. Boven de vraag staat dat er geen medische informatie in hoort. Lijkt een antwoord over je eigen gezondheid te gaan, dan bewaren we het niet en leest geen taalmodel het; dat herkennen we niet altijd.
-
Een chauffeur stopt of wist zelf, vanuit WhatsApp.
- Zo is het gebouwd
- STOP: geen vragenlijsten meer. JOY UIT: gesprekken en geheugen gewist. VERGEET MIJ: alles wat Joy weet en het nummer gewist.
- Waar de grens ligt
- Een melding die al is doorgegeven, blijft tot haar eigen termijn. Meta houdt berichten zelf nog tot dertig dagen.
Wat elk bericht precies doet
Zo werkt het
- STOP
- Geen vragenlijsten meer, en Joy schrijft niet meer uit zichzelf. Zelf Joy schrijven kan nog steeds.
- JOY UIT
- Bevestigd met JA: gesprekken en wat Joy weet gewist, en ze leest niets tot een nieuwe ja. De vragen blijven komen.
- VERGEET MIJ
- Bevestigd met JA: gesprekken, ook gemarkeerde, wat Joy weet en het nummer gewist, en geen vragen meer.
Elk commando werkt in de eigen taal van de chauffeur. De andere, zoals een andere taal kiezen, staan op de pagina over Joy. Naar Dit is Joy
Wat dit niet tegenhoudt
VERGEET MIJ haalt het nummer niet uit ons contactenboek bij Meta, en uit back-ups pas na hooguit dertig dagen. Gesprekken op een eerder nummer lopen hun eigen termijn af.
-
De antwoorden blijven in de EU.
- Zo is het gebouwd
- De antwoorden op de vragenlijst blijven in de EU. Het taalmodel is van Mistral AI, een Frans bedrijf, en wij roepen het aan via het Europese adres van Mistral; het leest wat een chauffeur schrijft zonder telefoonnummer of naam van de werkgever.
- Waar de grens ligt
- Meta ziet nummer en tekst, en wat via WhatsApp gaat, kan buiten de EU komen. Al het verkeer naar onze site loopt via Bunny; of dat in de EU blijft, is nog niet vastgesteld.
Meta, het taalmodel en wie verder meekijkt
Zo werkt het
Een gesprek met Joy gaat zoals het is naar het taalmodel, ook een naam die een chauffeur typt. Zonder taalmodel in de EU zetten we Joy en de open antwoorden niet aan.
Wat hier staat, geldt ook als een werkgever ons iets anders vraagt. Alleen een rechter of de wet kan ons iets anders opleggen.
Bewaartermijnen
Hoe lang we iets houden
| Wat | Hoe lang |
|---|---|
| Wat een chauffeur in eigen woorden schrijft | 14 dagen |
| Berichten met Joy | 30 dagen; dat er een gesprek was, 6 maanden |
| Een melding die de chauffeur liet doorgeven | hooguit 12 maanden |
| Antwoorden op de vragenlijst | 24 maanden; teamscores zolang je klant bent |
| Telefoonnummer en geboortedatum (als code) | tot de nacht na uit dienst |
| Jullie gegevens na de pilot | 30 dagen na de laatste dag gewist |
Taken die elke nacht draaien bewaken deze termijnen; het wissen na de pilot doen we volgens een vaste procedure.
Alle termijnen en uitzonderingen
-
14 dagen Letterlijke open antwoorden
Zonder thema wissen we het de nacht nadat de meting sloot; met een thema na hooguit 14 dagen.
-
6 maanden Gesprekken met Joy
Berichten blijven dertig dagen; tot zes maanden daarna alleen dát er een gesprek was, en een nummer of adres dat de chauffeur voor de bedrijfsarts opgaf. Wat Joy onthoudt, gaat twee jaar na de laatste aanvulling weg (alleen een naam: tot een van de drie commandos), of eerder met OPNIEUW, JOY UIT of VERGEET MIJ. Cijfers die ze mocht onthouden, acht weken.
-
6 maanden na de vraag Gesprekken waar een klacht op loopt
Tot zes maanden na het verzoek, met de berichten erin zolang het verzoek loopt.
-
12 maanden na de markering Gesprekken gemarkeerd om iemands veiligheid, na een ja
Zonder ja gaat de markering na vier weken weg. Na een ja op teruglezen twaalf maanden vanaf de markering.
-
12 maanden Meldingen die een chauffeur laat doorgeven
Een melding aan de werkgever of aan ons blijft na de ja hooguit twaalf maanden, los van gesprek en nummer.
-
24 maanden Antwoorden op de vragenlijst
Zonder naam opgeslagen en na 24 maanden verwijderd; teamscores en actiekaarten bewaren we zolang je klant bent.
Verder: dat er een uitnodiging naar een team ging, 24 maanden; een inloglink met het IP-adres, dertig dagen.
Als jullie stoppen
Wat er met de gegevens gebeurt
Voor de meting ben jij verwerkingsverantwoordelijke en zijn wij verwerker: gaan jullie niet door, dan wissen we de gegevens 30 dagen na de laatste dag van de pilot. De gesprekken met Joy en wat zij onthoudt vallen daarbuiten. Die zijn van de chauffeur, en daarvoor zijn wij zelf verantwoordelijk.
Wat er precies gewist wordt, en wat blijft
Na 30 dagen gewist, eerder als je dat vraagt
30 dagen na de laatste dag van de pilot verwijderen we volgens een vaste procedure het rooster, de antwoorden, scores, meldingen en het actiebord, tenzij jullie om een overstap vragen, en bevestigen we dat per e-mail; back-ups houden ze nog hooguit dertig dagen. Tot dan kun je de maandrapporten als PDF bewaren. Eerder wissen kan met één e-mail van iemand die namens jullie mag tekenen.
Bij een overstap
Dan kunnen ook de losse antwoorden mee, zonder naam of nummer maar met team, meting en dag: rechtstreeks, en alleen naar een aanbieder die ze als jullie verwerker gebruikt en ons schriftelijk belooft dat jullie ze nooit los zien, met grenzen en termijnen minstens zo streng als de onze.
Wat van de chauffeur is, blijft van de chauffeur
Gesprekken met Joy lopen hun eigen termijn af; een chauffeur kan ze zelf wissen met VERGEET MIJ.
Wat daarna blijft, zoals het toegangslogboek tot het na 24 maanden verloopt, staat in artikel 11 van de voorwaarden.
Voor je privacy officer en jurist
De stukken, op aanvraag
De verwerkersovereenkomst en de andere stukken vraag je bij ons op, ook voordat je een pilot aanvraagt.
Vragen kan altijd, ook zonder pilot: mail welkom@workerjoy.nl of bel 06 24 58 90 22.
-
Verwerkersovereenkomst (concept)
-
Uitleg voor de chauffeur In de eigen taal van de chauffeur (8 talen); het eerste bericht na het scannen van de poster linkt ernaar. Bekijk de uitleg
-
Privacyverklaring Lees de privacyverklaring
Bijgewerkt op 6 november 2026
Wie verantwoordelijk is, wat deze website bijhoudt en wat je aanvraagt
We meten je bezoek niet met cookies van Google, Microsoft of anderen. Op /info, /joy, de vragenlijst en het dashboard tellen we zelf, zonder cookie, hoe vaak iets wordt geopend: alleen aantallen per week of maand, zonder naam, IP-adres of tijdstip. Een formulier zet een beveiligings- en een sessiecookie. Brainpod, onze hosting, houdt je IP-adres in een logboek bij, volgens eigen opgave hooguit dertig dagen; ook Bunny kan een logboek bijhouden, hoe lang weten we nog niet. Bij de meeste paginas vraagt je browser het lettertype op bij Fontstand B.V.; je IP-adres staat dan tot een dag in een logboek van Amazon in de VS.
Wat je in de formulieren invult, komt als e-mail binnen op welkom@workerjoy.nl, zodat we contact kunnen opnemen; na de kennismaking vraagt een derde formulier de gegevens voor de pilotovereenkomst. We bewaren de mail tot twaalf maanden na het laatste contact; komt er een pilot van, dan zo lang als de administratie daarvan. Ondertekenen gaat via Youtrust in Frankrijk, dat het bewijs tien jaar bewaart.
Voor de meting is de werkgever verwerkingsverantwoordelijke en WorkerJoy verwerker; voor Joy, de aanmelding in WhatsApp en deze website is WorkerJoy (Pricbord B.V.) zelf verantwoordelijk. Vragen over privacy: privacy@workerjoy.nl. Een klacht kan bij de Autoriteit Persoonsgegevens.