Wat we van je weten, en waarom

Over WorkerJoy

Wie we zijn

WorkerJoy is een handelsnaam van Pricbord B.V. We maken een wekelijkse vragenlijst voor chauffeurs, meestal kort en eens per maand langer, een dashboard voor hun werkgever, en Joy: een AI-agent waarmee chauffeurs in WhatsApp over hun werk praten.

• Pricbord B.V., KvK 78178444, Vluchtoord 37, 5406 XP Uden
• E-mail: privacy@workerjoy.nl
• Telefoon: 06 24 58 90 22

We hebben geen functionaris gegevensbescherming aangesteld. Met vragen over privacy kun je terecht bij privacy@workerjoy.nl.

Terug naar de inhoudsopgave

Over WorkerJoy

Twee beloftes, twee rollen

Met de meting bedoelen we alles rond de vragenlijst: de lijst van chauffeurs, de uitnodigingen, de antwoorden, de cijfers, thema’s, actiekaarten en wat er per team speelt in het dashboard, de meldingen die chauffeurs via Joy aan hun werkgever lieten doorgeven, vanaf hun ja, en de accounts van wie met het dashboard werkt.

De privacywet kent twee rollen. De verwerkingsverantwoordelijke beslist waarvoor gegevens worden gebruikt en beantwoordt je vragen. Een verwerker werkt in diens opdracht.

Voor de meting is je werkgever verwerkingsverantwoordelijke en WorkerJoy verwerker. Met je werkgever bedoelen we het bedrijf dat jou op de lijst van chauffeurs zette en waarvoor je rijdt, ook als je via een uitzendbureau of als zelfstandige werkt. Je werkgever bepaalt het doel en de grondslag; wij werken volgens de schriftelijke afspraken met je werkgever. Voor iets anders gebruiken we die gegevens alleen in vier gevallen, en daarvoor zijn we zelf verantwoordelijk: een paar tellingen voor onszelf, statistieken over alle pilots samen die onomkeerbaar anoniem zijn, een kopie van je cijfers voor Joy als jij dat wilt, en wat de lijst van chauffeurs zegt over je taal, of je in dienst bent en van wie je telefoon is. Daarmee weten we in welke taal Joy je schrijft als je zelf geen taal koos, en of Joy op je nummer blijft als je uit dienst gaat. De tellingen en de statistieken staan onder “Wat WorkerJoy zelf telt”, de kopie onder “Je antwoorden laten onthouden”; op welke grond, staat onder “De wettelijke reden”.

Voor je aanmelding in WhatsApp is WorkerJoy zelf verantwoordelijk: je nummer, wanneer je je aanmeldde, of de telefoon van jou is, je taalkeuze, STOP en een nieuw nummer. Het doel is dat we jou berichten kunnen sturen en die van jou kunnen ontvangen, op het nummer dat je ons zelf gaf, en dat we weten of Joy op dat nummer blijft als je uit dienst gaat. Je werkgever ziet die gegevens niet en kan ze niet veranderen. Zet je werkgever je op uit dienst, dan wissen we wel de nacht erna je nummer, wanneer je je aanmeldde, of de telefoon van jou is en je taalkeuze. Een STOP blijft staan. Was de telefoon van jou, dan bewaren we nog twee jaar een onleesbare code van je nummer, met je oude werkgever en je taal, zodat je Joy kunt blijven schrijven. Als verwerker, in opdracht van je werkgever, doen we twee dingen: je herkennen aan je naam en geboortedatum als je je aanmeldt, en de vragenlijst over dat nummer versturen. Voor Joy, voor je vragen over Joy en je aanmelding, voor onze site en voor onze administratie is WorkerJoy zelf verantwoordelijk.

Op basis van de groepscijfers en thema’s geven we je werkgever concrete acties mee, en we volgen of die worden opgepakt. Je werkgever kan ons niet vragen je antwoorden of een melding aan jou te koppelen, of de grenzen te verlagen. Dat hebben we zo afgesproken, en geen overeenkomst verandert dat: lager gaan de grenzen nooit, hoger mag.

Terug naar de inhoudsopgave

Chauffeurs

De vragenlijst

Elke week een vragenlijst over je werk: meestal kort, en eens per maand langer. Je krijgt de link in WhatsApp en vult de vragenlijst in op onze eigen website.

Lijst van chauffeurs en aanmelden

Je werkgever zet je op de lijst van chauffeurs met je naam, geboortedatum, team, taal, van wie je telefoon is en je status: werkzaam, non-actief of uit dienst. Alleen wie op werkzaam staat, krijgt de vragenlijst. Die gegevens krijgen we van je werkgever, niet van jou. Je geboortedatum bewaren we als onleesbare code, die je werkgever wel kan invullen maar niet kan teruglezen. Daarmee herkennen we je bij het aanmelden en voorkomen we dat iemand twee keer op de lijst staat.

Je meldt je zelf aan met de QR-code op de poster of de link die je werkgever deelt; zo geef je ons zelf je nummer. Wat je typt om gevonden te worden, je naam en geboortedatum, bewaren we niet; bij Meta staat het, zoals elk WhatsApp-bericht, hooguit dertig dagen. We bewaren je nummer, wanneer je je aanmeldde, of de telefoon van jou is en je taalkeuze. Voor die gegevens is WorkerJoy zelf verantwoordelijk. Je werkgever ziet daar niets van, alleen per team één woord: of genoeg mensen zich aanmeldden. Staan er in een team precies 7 chauffeurs op de lijst die niet uit dienst zijn, dan betekent “genoeg” bijna altijd dat ze zich allemaal aanmeldden. Je werkgever mag zich niet in jouw naam aanmelden en mag ook niet proberen uit te zoeken of jij je aanmeldde; dat staat in onze afspraken met werkgevers.

Elke week

Elke woensdag krijg je in WhatsApp een persoonlijke link. Nog niet ingevuld? Dan krijg je vrijdag één herinnering, met een nieuwe link; de link van woensdag werkt dan niet meer. Je link werkt tot de volgende vragenlijst uitgaat.

Je antwoorden

Er staat geen naam bij je antwoord. Je werkgever ziet je losse antwoorden nooit, alleen cijfers en thema’s over een groep en wat er per team speelt, tenzij een rechter of de wet ons verplicht ze te geven.

Zodra je je antwoorden verstuurt, halen we je naam eraf. Je antwoorden staan daarna zonder naam, met alleen je team, de meting, de dag en de taal. Je werkgever kan ze nooit aan jou koppelen. Wij kunnen dat tot de nacht erna technisch nog wel: in onze database is dan nog te zien welke antwoorden bij welke uitnodiging horen. In die nacht wissen we die sporen. Daarna is nog te zien dat je antwoordde en op welke dag, tot de nacht nadat de volgende vragenlijst uitging, meestal binnen een week; was je die dag de enige uit je team die antwoordde, dan wijst dat ook naar je antwoorden. Na die nacht staat nergens meer welke antwoorden van jou zijn, behalve nog hooguit dertig dagen in onze back-ups. Maar ben je de enige in je team die in jouw taal antwoordt, dan zijn je antwoorden aan die taal te herkennen voor wie bij de database kan. Bij de database kunnen nu alleen twee mensen van WorkerJoy, en zij koppelen je antwoorden nooit aan jou. Laat je Joy je antwoorden onthouden, dan krijgt zij een eigen kopie van je cijfers per onderwerp, die wel bij jou hoort. Wat je in eigen woorden schreef, zit daar niet in.

Voordat het taalmodel (AI-software die tekst leest en schrijft) je open antwoord leest, halen we er telefoonnummers, e-mailadressen, Nederlandse kentekens en de namen van mensen op de lijst van chauffeurs en in het dashboard uit, als die namen met een hoofdletter zijn geschreven. Dat lukt niet altijd: een naam zonder hoofdletter, of van iemand die op geen van die lijsten staat, blijft staan. Boven de open vraag staat dat je er nooit medische informatie in zet, zoals een ziekte, klachten of medicijnen. Tekst die over iemands gezondheid lijkt te gaan, bewaren we niet en leest geen taalmodel; we herkennen dat aan woorden, dus niet altijd. Wat we niet herkennen, leest het taalmodel mee, zonder je naam. Je werkgever ziet geen open antwoorden, alleen thema’s, zonder aantallen. Een thema is een korte samenvatting, en komt er alleen als minstens 10 mensen uit hetzelfde team in dezelfde meting over hetzelfde schreven. Het taalmodel mag daarin niet citeren, en acht woorden of meer achter elkaar uit een antwoord houden we tegen. In een kleine groep kan een thema soms toch naar iemand wijzen; daarom tonen we nooit aantallen. Je tekst is na veertien dagen weg, en vaak al eerder.

Stoppen en uit dienst

Na STOP krijg je geen vragen meer, met START weer wel. Zet je werkgever je op “uit dienst”, dan wissen we de nacht erna je aanmelding (je nummer, of de telefoon van jou is en je taalkeuze) en de code van je geboortedatum. Je naam blijft met “uit dienst” op de lijst van je werkgever staan, en een STOP blijft staan. Was de telefoon van jou (zoals jij het ons zei, of anders zoals je werkgever het invulde), dan bewaren we nog twee jaar een onleesbare code van je nummer, met je oude werkgever en je taal, zodat je Joy kunt blijven schrijven; met VERGEET MIJ gaat die meteen weg.

Als je werkgever overstapt

Stapt je werkgever over naar een andere aanbieder van zo’n meting, dan kan je werkgever meenemen wat die al ziet of beheert: wat je werkgever over je op de lijst van chauffeurs zette (niet je geboortedatum), de meldingen die chauffeurs lieten doorgeven, en de cijfers, thema’s en wat er per team speelt. De nieuwe aanbieder kan die ook rechtstreeks bij ons ophalen. Ook je losse antwoorden kunnen naar die nieuwe aanbieder gaan, zodat de meting daar verdergaat: alleen je antwoorden op de vragenlijst, met je team, de meting en de dag, zonder je naam of nummer. Die gaan alleen naar de opvolger die je werkgever kiest, die ze uitsluitend als verwerker van je werkgever gebruikt, voor dezelfde meting, en alleen als die ons schriftelijk belooft dat je werkgever ze nooit los te zien krijgt en dat er grenzen en bewaartermijnen gelden die minstens zo streng zijn als de onze. We sturen ze rechtstreeks, en zetten de naam van die aanbieder in deze verklaring voordat we iets sturen. Je werkgever krijgt ze zelf nooit. Kiest je werkgever niemand, dan wissen we ze. Gaat je werkgever na de pilot niet verder en vraagt die niet om een overstap, dan wissen we de meting, met je antwoorden, uiterlijk dertig dagen na de laatste dag van de pilot. Je nummer, je aanmelding, je eigen taalkeuze, je STOP en Joy gaan nooit mee. Wat de nieuwe aanbieder daarna bewaart, staat in de informatie van je werkgever. In een klein team kunnen team, meting en dag samen nog naar jou wijzen; daarom mag de nieuwe aanbieder ze je werkgever nooit los laten zien.

Wat WorkerJoy zelf telt

Om de pilot te begeleiden en de dienst te verbeteren tellen we per werkgever hoeveel chauffeurs zich aanmeldden, STOP stuurden en met Joy praatten, hoeveel teams genoeg aanmeldingen hebben en hoeveel nog niet, en per meting hoeveel links we verstuurden en hoeveel er zijn gebruikt. Die aantallen zijn exact. Hoeveel links er bij een meting zijn gebruikt, zien we pas als de meting gesloten is, net als de scores op het dashboard van je werkgever: zolang ze loopt, zien we alleen hoeveel links we verstuurden, dus ook wie vaak kijkt, ziet niet wanneer iemand inleverde. Gingen er bij een meting minder dan 5 links uit, dan tonen we niet hoeveel er zijn gebruikt, ook geen nul. Deze cijfers slaan we niet op: we rekenen ze uit als we kijken. Dezelfde cijfers zien we ook per team van je werkgever: per week hoeveel chauffeurs er op de lijst van het team staan en hoeveel daarvan zich aanmeldden, per meting hoeveel links het team kreeg en hoeveel er werden ingeleverd en op welke dag — exact, ook onder de 5, per dag en nooit per uur, en pas als de meting voorbij is —, de score per onderwerp met het aantal antwoorden, en per maand hoe vaak elk werkonderwerp werd gekozen en hoe het ging. Een score per team tonen we alleen van een meting die voorbij is, waarin elk team van je werkgever er minstens 5 inleverde en minstens 7 chauffeurs telt. Wie bij ons ook het dashboard van je werkgever bekijkt, kan met die aantallen en de score van een depot of het bedrijf de paar antwoorden van een klein team ongeveer terugrekenen, en als er maar één antwoordde dat ene antwoord. Ook dat blijft bij ons. Het aantal op de lijst en de aanmeldingen per week, en de keuzes per maand, bewaren we dertien weken; de rest per team rekenen we uit als we kijken. Voor alle werkgevers samen tellen we ook per maand hoe vaak de vragenlijst wordt geopend en ingeleverd — een maand zien we pas als die voorbij is en elke meting erin gesloten is —, en per week en per taal hoe vaak onze uitleg voor chauffeurs wordt gelezen; daar tonen we geen aantal onder de tien, en die totalen bewaren we twee jaar. Doet er maar één werkgever mee, dan is het totaal het cijfer van die werkgever. Al deze cijfers ziet alleen wie in ons beheerscherm de hoogste rol heeft. Daarnaast bewaren we twee jaar per werkgever per dag hoeveel chauffeurs op de lijst staan en hoeveel uitnodigingen we verstuurden en hoeveel mislukten. Alleen wie zich aanmeldde krijgt een uitnodiging, dus dat laat ongeveer zien hoeveel chauffeurs zich aanmeldden. Dat ziet iedereen met een account voor ons beheerscherm. In beide gevallen zijn dat nu alleen de twee oprichters. Er staat geen naam of telefoonnummer bij, en behalve bij de cijfers per team ook geen team; heeft je werkgever één team, dan is het cijfer van je werkgever wel dat van je team. We geven deze cijfers aan niemand, ook niet aan je werkgever, en noemen ze ook niet in een gesprek met je werkgever. Om van alle pilots samen te leren, houden we na afloop alleen statistieken die onomkeerbaar anoniem zijn; je losse antwoorden, open antwoorden en gesprekken met Joy gebruiken we daar nooit voor, en we trainen er geen AI-model mee. Waarom en op welke grond, en hoe je bezwaar maakt, staat onder “De wettelijke reden”.

Terug naar de inhoudsopgave

Chauffeurs

Het gesprek met Joy

Joy is een AI-agent: software, geen mens. Dat zegt ze zelf. Het gesprek is vertrouwelijk, maar niet anoniem: wij weten van welk nummer je schrijft en bij welke werkgever je je aanmeldde. Het taalmodel achter Joy krijgt je nummer en je werkgever niet.

Je werkgever kan je gesprekken met Joy niet zien in het dashboard, en mag ze niet lezen. Wij geven ze je werkgever niet, ook niet bij een conflict of na een incident, tenzij de wet of een rechter ons dat oplegt. Joy leest pas iets van wat je schrijft als je dat goed vindt: bij je eerste bericht vraagt ze het. Wat je haar schrijft voordat je JA zegt, bewaren we niet; zeg je JA, stuur het dan opnieuw. Zeg je niets of NEE, dan leest Joy niets. Je werkgever weet niet of je JA zei, en voor de vragenlijst is je JA niet nodig. Je JA intrekken kan met JOY UIT, en bevestigen met JA: dan wissen we je gesprekken met Joy en alles wat ze van je onthoudt, leest ze niets meer van wat je stuurt, en blijft de vragenlijst gewoon komen. Schrijf je haar later weer, dan vraagt ze eerst opnieuw of ze mag lezen wat je schrijft. Wil je ook geen vragenlijst meer, stuur dan VERGEET MIJ of mail ons: dan wissen we ook je nummer en zetten we een STOP, tot je je opnieuw aanmeldt met de QR-code op de poster. Wat VERGEET MIJ wist en wat blijft, staat onder “Je gegevens laten verwijderen”.

Joy is geen hulpverlener en geen alarmlijn. Ze antwoordt pas na een paar minuten, geeft geen medisch, juridisch of financieel advies en kan zich vergissen. Herkent ze gevaar in je bericht, dan zegt ze dat ze daarvoor niet de juiste is en dat je 112 moet bellen. Zei je nog geen JA, dan leest ze je bericht niet en zegt ze dat dus ook niet. Ben je in gevaar, wacht dan niet op Joy maar bel zelf meteen 112: Joy en WorkerJoy schakelen niemand in.

Wie je gesprekken ziet

• Het taalmodel (de AI achter Joy), bij Amazon Web Services (AWS) in de EU. Het leest het laatste stuk van je gesprek en wat Joy van je weet. Je nummer en je werkgever sturen we niet mee. Wat het taalmodel leest, gaat niet naar de VS. AWS bewaart het niet en traint er niet mee.
• Meta (van WhatsApp): elk bericht, om het te bezorgen. Meta bewaart berichten in Duitsland, hooguit dertig dagen. Tijdens het bezorgen kan een bericht hooguit een uur in een datacenter van Meta buiten de EU staan; daarna staat het alleen nog in Duitsland.
• Iemand van WorkerJoy: gesprekken die jij liet nakijken, een gesprek over gevaar waarvan jij later zei dat het mocht, of je gesprekken als jij vraagt wat we bewaren. Wie dat doet, leggen we vast. Verder kunnen nu alleen twee mensen van WorkerJoy bij onze database, en dus ook bij je berichten; zie “Hoe we je gegevens beschermen”.

Wat Joy van je onthoudt

Na een gesprek maakt het taalmodel een korte samenvatting, zodat Joy je de volgende keer nog kent. Je naam kent Joy alleen als je die zelf geeft: de naam op de lijst van je werkgever krijgt ze niet. Meld je je later met hetzelfde nummer aan bij een andere werkgever die ook WorkerJoy gebruikt, dan kent Joy je daar nog; dat zeggen we je bij die aanmelding. Je nieuwe werkgever ziet niets van wat Joy van je weet. Liever opnieuw beginnen? Stuur OPNIEUW.

Werk je met een telefoon van de zaak? Stuur dan NIEUW NUMMER zodra je weet dat je uit dienst gaat: zo neem je Joy mee naar je eigen telefoon. Wacht daar niet mee tot je de telefoon inlevert. Zodra je werkgever je op uit dienst zet, koppelen we Joy los van je nummer, tenzij we weten dat het je eigen telefoon is: omdat je dat zelf zei, of, als je niets zei, omdat je werkgever dat opgaf. Weten we het niet, dan telt het als een telefoon van de zaak; is de telefoon van jou, stuur dan MIJN EIGEN TELEFOON. Na het loskoppelen ben je kwijt wat Joy van je weet, en blijven je gesprekken op dat nummer staan tot hun termijn om is. Is het je eigen telefoon, dan kun je na je vertrek nog twee jaar met Joy praten. De chat met Joy op het toestel kunnen wij niet wissen; je werkgever mag hem niet lezen, maar wis hem zelf voordat je een telefoon van de zaak inlevert.

Je gezondheid

Wat je over je gezondheid vertelt, is extra gevoelig. Het taalmodel leest het om je te antwoorden, en het staat zoals elk bericht 30 dagen in je gesprek met Joy; dat valt onder je eerste JA. Liet je dat gesprek nakijken, of zei je JA op teruglezen na een markering om gevaar, dan blijft het zo lang als dat gesprek. Voor de samenvatting na het gesprek vragen we het taalmodel je gezondheid weg te laten, behalve wat je Joy liet onthouden; komt het er in andere woorden toch in, dan hoort dat bij die samenvatting en dus ook bij je eerste JA. Of Joy iets over je gezondheid bewust onthoudt voor een volgend gesprek, is een aparte keuze; hieronder staat hoe dat gaat. Wil je dat ze alles over je gezondheid onthoudt, of wil je dat terugdraaien? Zeg het tegen Joy.

Zei je tegen Joy dat ze alles mag onthouden, dan onthoudt ze ook wat je over je gezondheid vertelt. Anders vraagt ze bij iets nieuws over je gezondheid meestal of ze dat mag onthouden, in een paar woorden, zoals “enkel gekneusd”. Alleen als je volgende bericht JA is, op dezelfde dag, onthoudt ze precies die woorden; stuur je iets anders of niets, dan onthoudt ze het niet. Zei je eerst dat ze alles mag onthouden en zeg je later NEE, dan vergeet ze alles wat ze uit eerdere gesprekken onthield, niet alleen over je gezondheid; je naam, je bewaarde antwoorden en wat je haar per onderwerp liet onthouden blijven. Eén onderwerp laten vergeten kan niet apart: met OPNIEUW vergeet Joy alles wat ze van je weet.

De samenvatting schrijft een taalmodel. We vragen het alles over je gezondheid weg te laten wat je Joy niet liet onthouden. Noemt een samenvatting toch letterlijk een onderwerp waarvan Joy in dat gesprek vroeg of ze het mocht onthouden en waarop je geen JA gaf, dan gooien we die samenvatting weg en houdt Joy de vorige. Iets waarover Joy niets vroeg, of wat er in andere woorden in komt, houdt die controle niet tegen; dat valt onder je eerste JA, en verdwijnt met OPNIEUW of VERGEET MIJ. Je werkgever ziet hier nooit iets van, ook niet of je iets over je gezondheid vertelde.

Je antwoorden laten onthouden

Alleen als jij ja zegt, onthoudt Joy je antwoorden op de vragenlijst: met het vinkje op de vragenlijst, of met JA op de vraag die ze na je aanmelding in WhatsApp stelt. Ze bewaart dan per week en per onderwerp je gemiddelde, versleuteld en 8 weken lang. Ze gebruikt ze in haar antwoorden, dus het taalmodel leest ze mee. Je werkgever ziet ze nooit. Vraag je ons wat we van je bewaren, dan openen we ze om ze jou te geven. Was je gemiddelde op een onderwerp twee of lager, op een schaal van 1 tot 5, dan stuurt Joy je hooguit eens per 28 dagen zelf een bericht. Stoppen? Haal het vinkje weg op je volgende vragenlijst; dan vergeet Joy ze meteen. Met JOY UIT en met VERGEET MIJ gaan ze ook weg. OPNIEUW wist wat ze al had, maar daarna onthoudt ze je nieuwe antwoorden weer.

Wanneer iemand van WorkerJoy een gesprek terugleest

Gaat een gesprek over gevaar voor jou, over iemand die door jou in gevaar kan komen, of over onveiligheid thuis? Dan markeert het taalmodel dat gesprek, liever één keer te vaak dan te weinig. Joy zegt je dat meteen. Een gesprek is hier alles wat je Joy schrijft tot je zo’n twee dagen niets meer stuurt; je volgende bericht begint een nieuw gesprek, dat niet gemarkeerd is. Er gaat niets naar je werkgever of een hulpdienst, en wij bellen niemand en nemen geen contact met je op. Niemand gaat het lezen alleen omdat het gemarkeerd is. Schrijf je Joy binnen vier weken in een nieuw gesprek, dan vraagt ze één keer of iemand van WorkerJoy dat gesprek achteraf mag lezen, om te kijken of Joy goed hielp. Alleen als je daarop JA zegt, gebeurt dat; wie het doet, leggen we vast, en dan bewaren we het gesprek met de berichten twaalf maanden vanaf de markering. Zonder JA gaat de markering na vier weken weg, de berichten na 30 dagen, en de rest van het gesprek na zes maanden, zoals bij elk gesprek. Je JA intrekken kan met JOY UIT: dan wissen we dat gesprek met je andere gesprekken met Joy, en de vragenlijst blijft komen.

Vind je dat Joy je verkeerd antwoordde, of was ze onaardig? Vraag haar dan duidelijk dat iemand van WorkerJoy meekijkt; alleen boos zijn is nog geen vraag. Joy vraagt je dan met een vaste vraag of iemand van WorkerJoy je gesprekken met haar van de afgelopen twee weken mag lezen, en vanaf welke dag. Pas als je daarop JA stuurt, markeert ze ze. Iemand van WorkerJoy leest die terug, en verder niets. Wie dat doet, leggen we vast. Bedenk je je? Zeg het tegen Joy. Zolang niemand je gesprekken heeft gelezen, trekt ze je vraag in. Een markering om gevaar blijft wel staan, tot ze na vier weken weggaat, maar alleen daardoor leest niemand het. Zei je JA op de vraag of dat gesprek mag worden teruggelezen, dan mag dat nog steeds.

Iets doorgeven

Joy kan op drie manieren iets voor je doorgeven. Je weet altijd eerst wat er doorgaat, en het gaat pas als jij het bevestigt: met JA, of bij de bedrijfsarts door zelf je telefoonnummer of e-mailadres te sturen.

• Aan de bedrijfsarts: als het over je gezondheid gaat, er geen gevaar is en je werkgever een bedrijfsarts heeft opgegeven. Joy kan je dan de gegevens van de bedrijfsarts geven, zodat je zelf contact kunt opnemen. Wil je liever dat de arts jou benadert, stuur Joy dan alleen het telefoonnummer of e-mailadres waarop je bereikbaar bent, in één bericht; dat is je ja. De bedrijfsarts krijgt alleen dat nummer of adres en de naam van je werkgever; wat je tegen Joy zei, gaat niet mee. Vanaf dat moment is de bedrijfsarts voor die gegevens verantwoordelijk. Wij bewaren dat nummer of adres bij het gesprek, tot het gesprek wordt gewist: meestal na zes maanden, of eerder met VERGEET MIJ.
• Aan je werkgever: iets op je werk dat beter kan. Je werkgever krijgt alleen wat er mis is en waar, in het Nederlands, met als datum de dag na je JA: zonder je naam, je nummer, je team of je gesprek met Joy. Soms is aan de inhoud wel te raden van wie het komt. Vanaf je JA is je werkgever voor die melding verantwoordelijk, en kun je het doorgeven niet meer terugdraaien. Laten verbeteren of wissen kan nog wel: zeg ons welke melding het is (zie “Je rechten”).
• Aan WorkerJoy: als je werkgever je slechter behandelt omdat je iets zei of juist niets zei. Bijvoorbeeld omdat je de vragenlijst wel of niet invulde, STOP stuurde of iets tegen Joy zei. Slechter behandelen is bijvoorbeeld: slechtere ritten, minder uren, een waarschuwing of buiten de groep gezet worden, ook door je planner of leidinggevende. Dat mag niet, en wij willen het weten. Stuur Joy een bericht over wat er gebeurde. Ze vraagt of ze het aan ons mag doorgeven, en pas als je JA zegt, krijgen wij het. We krijgen dan alleen wat je vertelde en bij welke werkgever, niet je nummer. Je krijgt een meldcode; die noem je als je ons over je melding mailt. Je werkgever hoort er van ons niets van, tenzij jij dat wilt of de wet of een rechter het ons oplegt.

Als je werkgever je slechter behandelt

Je werkgever ziet je melding niet en hoort van ons ook niet dat je iets meldde, tenzij jij dat wilt of de wet of een rechter het ons oplegt. Met elke werkgever praten we op vaste momenten over de afspraak dat niemand benadeeld wordt, ook als niemand iets meldde. Wil je dat we over jouw situatie met je werkgever praten, of wil je je melding intrekken of laten wissen? Mail ons dan op privacy@workerjoy.nl met je meldcode, liefst vanaf een privé-mailadres. Je naam hoeft niet. Over jouw situatie praten we pas met je werkgever als jij de woorden en het moment hebt goedgekeurd. Let op: wie je meldcode kent, kan ons hetzelfde vragen. Bewaar hem dus niet op een telefoon van de zaak.

Een melding telt mee als we beslissen of we met een werkgever doorgaan. Beloven dat het ophoudt, kunnen we niet: wie je slechter behandelt, kan vaak raden van wie een melding komt. Daarom zeggen we over jouw situatie niets zonder jou, tenzij de wet of een rechter ons dat oplegt. Gaat het om ontslag, je loon, bedreiging of je rijtijden? Wacht dan niet op ons, maar vraag gratis advies bij het Juridisch Loket, of bij je vakbond als je lid bent.

De afspraak dat een werkgever niemand benadeelt, leggen we met elke werkgever vast voordat die begint. Die geldt tot twaalf maanden na het einde van de samenwerking, en ook voor jou als je meedoet: vraag je je werkgever of ons schriftelijk, bijvoorbeeld per mail, dat je werkgever zich eraan houdt, dan kun je dat daarna ook zelf eisen. Vraag je het ons, dan noemen we je naam aan je werkgever alleen als jij dat wilt.

Geen besluiten door software

Joy is software: een taalmodel leest je berichten en schrijft haar antwoorden. Ze neemt geen besluiten over je, en niets van wat Joy van je weet gaat naar je werkgever, behalve wat jij zelf laat doorgeven of wat een rechter of de wet ons oplegt. Besluiten die alleen door software worden genomen en rechtsgevolgen of een vergelijkbaar groot gevolg voor je hebben, zoals artikel 22 van de privacywet ze bedoelt, nemen we niet. Wel doet software drie dingen vanzelf. Samenvatting: uit je gesprek, zodat Joy je de volgende keer kent; alleen Joy gebruikt die, en hij heeft geen gevolgen voor je werk. Markering bij gevaar: het taalmodel beoordeelt of een gesprek over gevaar gaat; zo ja, dan zegt Joy je 112 te bellen. Door de markering alleen leest niemand het; wanneer iemand van WorkerJoy het wel leest, staat onder “Wanneer iemand van WorkerJoy een gesprek terugleest”. Bericht na een laag cijfer: liet je Joy je antwoorden onthouden en was een cijfer twee of lager, dan stuurt ze je hooguit eens per 28 dagen zelf één bericht, zonder cijfer erin; je werkgever ziet dat niet. Daarnaast let het taalmodel bij elk bericht op een paar dingen, zodat Joy goed kan reageren: of je iets over je gezondheid vertelt, of zegt dat ze daar alles of niets van mag onthouden (zie “Je gezondheid”); of je vraagt om een gesprek te laten nakijken (dan markeert ze je gesprekken en zegt ze je dat); of er iets is wat je zou kunnen doorgeven (dan legt ze je een tekst voor); of de bedrijfsarts van je werkgever, als die er is, je kan helpen (dan biedt ze die aan); of iemand nu in gevaar is; en hoe je genoemd wilt worden. Geen van die beoordelingen gaat naar je werkgever of heeft gevolgen voor je werk. Een melding of een verzoek aan de bedrijfsarts stuurt software nooit uit zichzelf: een melding gaat pas als jij de tekst gelezen hebt en JA zegt, een verzoek aan de bedrijfsarts pas als jij zelf je telefoonnummer of e-mailadres stuurt. Met OPNIEUW wis je de samenvatting en wat Joy van je weet; na een volgend gesprek maakt ze wel weer een samenvatting. Het bericht na een laag cijfer stop je met het vinkje op de vragenlijst of met STOP. Alle drie stoppen kan met VERGEET MIJ; wat we dan wissen en wat niet, staat onder “Je gegevens laten verwijderen”. Over groepen doet software ook iets: het maakt thema’s uit open antwoorden, bepaalt met een vaste regel uit wat chauffeurs over hun week kozen wat er per team speelt, en maakt actiekaarten uit de groepscijfers en thema’s in het dashboard. Die komen nooit uit je gesprekken met Joy. Ze gaan over groepen, al kan een thema in een kleine groep soms naar iemand wijzen; je werkgever mag ze nooit gebruiken om over één chauffeur te beslissen. Werd bij wat er per team speelt ‘niet goed’ het vaakst gekozen, dan schrijft een taalmodel er een actiekaart bij uit wat de lezers van die kaart al zien: het onderwerp en de richting, de maand waarin het begon, de scores van het team die erbij horen, eerdere kaarten erover en een thema over hetzelfde onderwerp als dat er is. Daarnaast krijgt het onze eigen lijst met maatregelen en of de kaart voor een team is of voor het hele bedrijf; nooit de woorden van een chauffeur, een aantal of een naam.

Terug naar de inhoudsopgave

Chauffeurs

Wat je zelf kunt sturen

Stuur het woord als los bericht, zonder andere woorden erbij, en in hoofdletters zoals hieronder. STOP, JOY UIT en VERGEET MIJ werken ook in kleine letters, zodat stoppen altijd lukt. Na JOY UIT, VERGEET MIJ en OPNIEUW vragen we eerst of je het zeker weet. Op Dit is Joy staan de woorden in jouw taal; de Nederlandse werken ook. Waar deze pagina JA of NEE zegt, stuur je het woord dat Joy in haar vraag noemt, in de taal van jullie gesprek. Bij een melding, bij iets over je gezondheid onthouden en bij je antwoorden laten onthouden telt alleen dat woord.

STOP

Geen vragenlijsten meer, en Joy begint zelf geen gesprek meer. Je kunt haar daarna nog steeds zelf schrijven.

START

Je krijgt de vragen weer. Stuurde je eerder VERGEET MIJ, meld je dan eerst opnieuw aan met de QR-code op de poster.

JOY UIT

Na een JA trek je je ja aan Joy in: we wissen je gesprekken met Joy en alles wat ze van je weet, en ze leest niets meer van wat je stuurt. De vragenlijst en je nummer blijven. Schrijf je haar later weer, dan vraagt ze eerst opnieuw of ze mag lezen wat je schrijft.

VERGEET MIJ

Na een JA wissen we je gesprekken, wat Joy van je weet en je nummer, en krijg je geen vragenlijsten meer. Wil je daarna weer meedoen, meld je dan opnieuw aan met de QR-code op de poster. Wat blijft, staat onder Verwijderen.

OPNIEUW

Na een JA vergeet Joy wat ze van je wist, ook je naam, wat ze over je gezondheid onthield en je bewaarde antwoorden. Je gesprekken en de vragenlijst blijven, en ook wat je eerder goedvond: staat het vinkje nog aan, dan onthoudt ze je volgende antwoorden weer.

NIEUW NUMMER

Stuur het vanaf je oude telefoon, en de code die je krijgt binnen een dag vanaf je nieuwe. Wat Joy van je weet en de vragenlijst gaan mee. Je gesprekken op het oude nummer niet: die blijven staan tot hun termijn om is. De chat op je oude telefoon wis je zelf.

TAAL

Kies je taal uit de lijst die je krijgt.

Terug naar de inhoudsopgave

Werkgevers

Voor wie met het dashboard werkt

Dit deel is voor iedereen die bij een werkgever met het dashboard werkt, zoals HR, planners, depotmanagers en teamleiders. Je werkgever geeft je toegang en kiest je rol: Beheerder, HR-analist, Depotmanager of Kijker. De eerste beheerder nodigen wij uit, met de gegevens die je werkgever ons gaf. Voor je account is je werkgever verantwoordelijk; WorkerJoy verwerkt het in opdracht van je werkgever. Wil je de gegevens van je account inzien, laten verbeteren of wissen, vraag het dan je werkgever; mail je ons, dan helpen we je werkgever daarbij.

• Account: naam, e-mailadres, taal, rol, welke teams je ziet, wanneer je laatst inlogde en welke kaarten op het actiebord je oppakte. We gebruiken ze om je te laten inloggen, te bepalen wat je mag zien en op het actiebord te laten zien wie een kaart oppakte. Je naam en e-mailadres bewaren we tot je werkgever je uit het dashboard haalt, of tot we de gegevens van je werkgever wissen nadat die met WorkerJoy is gestopt; het actiebord tot dat laatste moment (zie “Hoe lang we iets bewaren”). Op Mijn account kies je of we je mailen als er iets voor je klaarstaat. Zo’n mail zegt alleen dát er iets klaarstaat, hoeveel en waar: geen scores en geen namen van teams of mensen.
• Inloggen gaat met een link per mail. Het IP-adres van de aanvraag bewaren we tot dertig dagen na gebruik of verloop van de link, zodat we bij misbruik of een overgenomen account achteraf kunnen nagaan vanaf welk adres een inloglink werd aangevraagd.
• Logboek: wie wanneer inlogde, en wie iemand toegang of een rol gaf of afnam, met een intern nummer in plaats van je e-mailadres. Het is er om achteraf te kunnen nagaan wie toegang gaf, afnam of gebruikte. Het dashboard en ons beheerscherm kunnen er niets uit wissen of in veranderen.
• Meekijken en beheer: soms helpt iemand van WorkerJoy je werkgever door met jouw account mee te kijken, hooguit een halfuur per keer en zonder iets te kunnen veranderen. In ons beheerscherm zien we ook je naam, e-mailadres, rol en wanneer je inlogde, en op verzoek van je werkgever regelen we daar je toegang: uitnodigen, je rol aanpassen, blokkeren of verwijderen. Wie van WorkerJoy wat deed, in welk account en wanneer, leggen we vast. Je ziet dat niet in het dashboard; wil je het weten, vraag het ons.
• Haalt je werkgever je uit het dashboard, dan staat er voortaan “Verwijderde gebruiker” waar je naam stond, bijvoorbeeld bij een kaart op het actiebord. Je e-mailadres wissen we. We houden er een onleesbare code van, zodat we je herkennen als je later opnieuw wordt uitgenodigd. Wil je dat die code ook weg is? Mail ons. Heb je nog toegang bij een andere werkgever, dan blijft je account daar bestaan.
• Wat WorkerJoy zelf telt: per dag hoeveel chauffeurs, teams en gebruikers je werkgever heeft, en hoeveel uitnodigingen we verstuurden en hoeveel daarvan mislukten; hoe vaak gebruikers inlogden en hoeveel actiekaarten ze de laatste dertig dagen oppakten; en per week hoe vaak de schermen worden geopend. Daarvoor is WorkerJoy zelf verantwoordelijk, niet je werkgever. We slaan er geen namen bij op en bewaren de aantallen twee jaar. Alleen wie bij WorkerJoy een account voor ons beheerscherm heeft, ziet die cijfers; nu zijn dat alleen de twee oprichters. Krijgt iemand anders zo’n account, dan laten we je werkgever dat vooraf weten. Heeft je werkgever één gebruiker, dan laten die cijfers zien hoe die persoon het dashboard gebruikt. We doen dit op grond van gerechtvaardigd belang: het product verbeteren en je werkgever begeleiden. Bezwaar maken kan per mail. Dan tellen we je vanaf dat moment niet meer mee bij het inloggen en het gebruik van je werkgever; wat we daarvoor telden, blijft staan, zonder naam.

Als een chauffeur jou noemt

Een chauffeur kan over jou praten of schrijven: tegen Joy, in een open antwoord of in een melding via Joy. Dat geldt ook als je zelf niet met het dashboard werkt, bijvoorbeeld als planner of leidinggevende.

• Tegen Joy: je werkgever kan dat niet zien in het dashboard en mag het niet lezen. Het taalmodel leest het wel, ook je naam als die erin staat. Het bericht blijft meestal 30 dagen in het gesprek staan. Iemand van WorkerJoy leest het als de chauffeur vraagt om het gesprek na te kijken of om te zien wat we bewaren, of als de chauffeur na een markering om gevaar JA zegt op teruglezen. Verder kunnen nu alleen twee mensen van WorkerJoy bij onze database, en dus ook bij dat bericht. In wat Joy onthoudt, schrijft ze geen namen op maar een rol, zoals “de planner” of “de directeur”; dat is een regel voor het taalmodel, en dat kan zich vergissen. Wat een chauffeur over de gezondheid van iemand anders zegt, bewaren we niet: het taalmodel wijst het aan en wij halen het uit het bewaarde gesprek, en lukt dat niet met zekerheid, dan bewaren we dat bericht helemaal niet. Een samenvatting of melding waarin het toch staat, weigert een aparte controle. Het taalmodel leest het bericht wel één keer, om te antwoorden.
• In een open antwoord: voordat het taalmodel het leest, halen we de namen eruit van mensen op de lijst van chauffeurs en in het dashboard, als ze met een hoofdletter zijn geschreven. Een andere naam kan blijven staan, zoals een naam zonder hoofdletter of van iemand die op geen van beide lijsten staat. Tekst die over iemands gezondheid lijkt te gaan, ook over die van jou, bewaren we niet en leest geen taalmodel; we herkennen dat aan woorden, dus niet altijd. Je werkgever ziet geen open antwoorden, alleen korte thema’s; in een thema mag het taalmodel niet citeren en niemands gezondheid noemen. Na veertien dagen is de tekst weg.
• In een melding via Joy: noemt Joy er iemand in, dan schrijft ze een rol en geen naam. Dat is een regel voor het taalmodel, en dat kan zich vergissen. De chauffeur leest de tekst voordat die doorgaat. Een melding bewaren we hooguit twaalf maanden; een melding over benadeling gaat alleen naar WorkerJoy.

Ook een rol kan naar jou wijzen, bijvoorbeeld als er maar één directeur is.

Wil je weten wat er over jou is opgeslagen? Voor wat bij de meting hoort, zoals je account, de open antwoorden en wat er in het dashboard staat, is je werkgever verantwoordelijk: vraag het daar, en wij helpen je werkgever. Voor wat WorkerJoy zelf bewaart, zoals wat een chauffeur tegen Joy zei of aan ons meldde, mail je ons; alleen jij, of iemand die jij daarvoor machtigt, kan dat over jou vragen. We bekijken elk verzoek apart. Een gesprek met Joy openen we daar in de regel niet voor; zeggen we nee, dan zeggen we waarom. Welke chauffeur iets zei en de letterlijke woorden van een chauffeur krijg je niet van ons, en wat een chauffeur tegen Joy zei of aan ons meldde, geven we niet aan je werkgever. Dat doen we alleen als de chauffeur dat zelf wil, of als de wet of een rechter ons ertoe verplicht.

Ben je bedrijfsarts?

Je naam, e-mailadres en eventueel telefoonnummer krijgen we van de werkgever die jou opgaf, zodat chauffeurs je kunnen bereiken. Praat een chauffeur met Joy over de eigen gezondheid en is er geen gevaar, dan kan Joy die gegevens in WhatsApp aan die chauffeur geven. Vraagt een chauffeur om contact, dan mailen we je het nummer of e-mailadres van die chauffeur en de naam van de werkgever; wat de chauffeur tegen Joy zei, sturen we niet mee. Je gegevens blijven staan tot je werkgever ze in het dashboard weghaalt, of tot we de gegevens van je werkgever wissen nadat die met WorkerJoy is gestopt; zie “Hoe lang we iets bewaren”.

Terug naar de inhoudsopgave

Bezoekers

Website, pilot en contact

We tonen geen advertenties, verkopen geen gegevens en meten je bezoek niet met cookies van Google, Microsoft of anderen. Op de vragenlijst, de pagina's voor chauffeurs en het dashboard tellen we wel zelf, zonder cookie, hoe vaak ze worden geopend en hoe vaak een vragenlijst wordt ingeleverd: alleen als aantal per week of per maand, zonder naam, IP-adres of tijdstip. Zie “Wat WorkerJoy zelf telt”. Gaan we ooit wel met cookies meten, dan alleen na je ja in een cookiemelding, en passen we deze verklaring eerst aan.

• Lettertype: op de website en in het dashboard huren we een lettertype van Fontstand BV in Den Haag. Je browser haalt het bij elke pagina op bij Fontstand, via Amazon CloudFront. Daarbij legt Amazon je IP-adres, je browser, de website en het tijdstip vast in een logboek. Dat logboek staat bij Amazon in de VS (Virginia) en wordt binnen een dag gewist; Fontstand haalt er alleen het aantal paginaweergaven voor de licentie uit en bewaart zelf niets. Die doorgifte naar de VS valt onder het EU-VS Data Privacy Framework. Voor die telling is Fontstand zelf verantwoordelijk. Dat je browser het lettertype op onze pagina's ophaalt, regelen wij; daarvoor zijn wij samen met Fontstand verantwoordelijk, op grond van ons gerechtvaardigd belang om de site in onze eigen letter te tonen. Fontstand biedt geen onderlinge afspraak daarover aan; met vragen kun je bij Fontstand en bij ons terecht. De vragenlijst, de pagina “Wat is dit?” en deze privacyverklaring halen niets bij Fontstand; de pagina “Dit is Joy” wel.
• Serverlogboek: onze hosting houdt bij elke pagina die je opent je IP-adres, het tijdstip, je browser en het adres van de pagina bij, zodat we storingen en misbruik kunnen onderzoeken. We bewaren dat hooguit dertig dagen. Nu gaat dat om de website; zodra de vragenlijst en het dashboard in gebruik zijn, ook om die, en bij een persoonlijke link, zoals de link naar je vragenlijst, staat die link er dan ook in. Dat logboek staat bij Brainpod, onze hosting. Of het daar ook na hooguit dertig dagen verdwijnt, hebben we Brainpod gevraagd; het antwoord hebben we nog niet. Ook Bunny, waar het verkeer naar onze site doorheen gaat, kan een logboek van je bezoek bijhouden. Of Bunny dat doet en hoe lang, weten we nog niet. Zodra we het weten, zetten we het hier.
• Pilot en documenten: vraag je een pilot of onze documenten aan, dan komen je naam, functie, bedrijf, werkmail, eventueel telefoon, het aantal chauffeurs en je eventuele vraag als mail bij ons binnen, alleen om contact op te nemen of de documenten te sturen. Na een pilotaanvraag krijg je op het e-mailadres dat je invulde een korte bevestiging, met daarin niets van wat je typte. We bewaren die mail tot uiterlijk twaalf maanden na het laatste contact; komt er een pilot van, dan hoort hij bij de administratie van die pilot. Om misbruik te beperken tellen we een uur lang hoeveel aanvragen er van hetzelfde adres komen, onder een code waaruit je IP-adres niet af te lezen is. Na de kennismaking vraagt een apart formulier de gegevens voor de pilotovereenkomst: de bedrijfsgegevens, naam, functie en e-mailadres van wie tekent en van de contactpersoon, eventueel diens telefoon, en naam en e-mailadres van wie het dashboard gaat beheren. Ook dat komt alleen als mail binnen. De overeenkomst tekenen we via Youtrust in Frankrijk; Youtrust legt vast wie tekent, met naam, e-mailadres en IP-adres, en bewaart dat bewijs zelf tien jaar. Een citaat van iemand van een pilot-partner gebruiken we alleen als die persoon en de pilot-partner de letterlijke tekst, de naam, de functie en waar het verschijnt per mail goedkeurden. Naam en logo van een bedrijf gebruiken we alleen met aparte toestemming van dat bedrijf: een vakje in het formulier voor de pilotovereenkomst dat niet vooraf is aangevinkt en dat je ook leeg kunt laten zonder dat het iets aan de pilot verandert, of later per mail. Elke toestemming kun je per mail intrekken; binnen vijf werkdagen stoppen we dan met nieuw gebruik en halen we het van onze website.
• Cookies en opslag in je browser: alleen wat nodig is voor wat je zelf doet. Verstuur je een formulier, dan een beveiligingscookie tegen misbruik, die verdwijnt als je je browser sluit, en een sessiecookie van hooguit dertig dagen die je bevestiging één keer laat zien. Vul je de voorbeeldvragenlijst in, dan bewaart je browser je antwoorden tot je ze verstuurt of het tabblad sluit, zodat ze niet verloren gaan als de pagina opnieuw laadt. Andere cookies of opslag gebruiken we niet; daarom is er geen cookiemelding. Zodra het dashboard en de vragenlijst in gebruik zijn, komt daar bij: na het inloggen in het dashboard een sessiecookie van hooguit dertig dagen, en op de vragenlijst dezelfde opslag van je antwoorden.
• Sociale media: we hebben een pagina op Facebook en op Instagram. Onderaan de site staan gewone links ernaartoe; pas als je klikt, ga je naar Meta. Bekijk je zo'n pagina, dan legt Meta dat vast en krijgen wij daarvan statistieken: totalen, zonder namen. Volg je ons of reageer je, dan zien we wel je naam. Voor die statistieken zijn Meta en WorkerJoy samen verantwoordelijk. Meta regelt het meeste, ook je rechten, maar je kunt ook bij ons terecht.

Terug naar de inhoudsopgave

Voor iedereen

Met wie we gegevens delen

Voor een paar dingen schakelen we andere bedrijven in. De meeste werken alleen voor wat wij vragen, met een verwerkersovereenkomst. Fontstand gebruikt gegevens ook voor zichzelf, en Youtrust bewaart het bewijs van een ondertekening zelf tien jaar.

Waar staan je gegevens? Onze database komt bij Brainpod in Nederland te staan. Nu is er nog geen database: de website draait zonder. Het taalmodel draait in de EU. Wat buiten de EU kan komen, staat in de laatste kolom van de tabel. Voor chauffeurs is dat: een WhatsApp-bericht, tijdens het bezorgen hooguit een uur; je nummer in de contactenlijst van Meta; mail tussen jou en ons, en mail die we voor je aan de bedrijfsarts sturen; en je IP-adres als je Dit is Joy opent, door het lettertype. Bij Bunny, waar al het verkeer naar onze site doorheen gaat, ook dat van chauffeurs, is nog niet vastgesteld of daarbij iets buiten de EU komt, en als dat zo is, of dat gaat zoals hieronder staat.

Een paar van deze bedrijven zijn Amerikaans. Gaan gegevens de EU uit, dan naar een bedrijf dat onder het EU-VS Data Privacy Framework valt, of met de modelbepalingen die de Europese Commissie heeft goedgekeurd. Een kopie van die modelbepalingen krijg je op verzoek: mail privacy@workerjoy.nl. Voor het lettertype bevestigde Fontstand ons in oktober 2026 dat de doorgifte onder het EU-VS Data Privacy Framework valt; Fontstands eigen privacyverklaring is van 2018 en noemt nog het Privacy Shield.

Je werkgever krijgt alleen groepscijfers, thema’s, wat er per team speelt en actiekaarten, en wat jij zelf laat doorgeven; de bedrijfsarts alleen wat jij laat doorgeven. Stapt je werkgever over, dan kunnen gegevens van de meting naar de nieuwe aanbieder (zie “Als je werkgever overstapt”). Meer, of aan iemand anders dan hierboven staat, geven we alleen als de wet of een rechter ons dat verplicht, bijvoorbeeld aan de overheid.

Terug naar de inhoudsopgave

Voor iedereen

Hoe lang we iets bewaren

De meeste termijnen bewaakt een taak die elke nacht wist wat over de termijn is. Een paar dingen wissen we met de hand, zoals de lijst van chauffeurs en het actiebord na het einde van de samenwerking, en een paar bewaart een ander bedrijf op zijn eigen termijn, zoals Google, Microsoft en Youtrust.

Elke termijn gaat in op het moment dat in de tabel staat; zonder zo’n moment vanaf het ontstaan van het gegeven. Na afloop wissen we het, of maken we het onomkeerbaar anoniem. Valt een gesprek met Joy onder meer dan één regel, dan geldt de langste termijn. Stuur je VERGEET MIJ en bevestig je met JA, dan wissen we meteen je gesprekken met Joy op dit nummer, wat ze van je onthoudt, ook over je gezondheid, je bewaarde antwoorden, je JA’s aan Joy en je nummer, ook als een regel hierboven langer is; wat we niet kunnen wissen, staat onder “Je gegevens laten verwijderen”. Mail die je ons stuurt, bewaren we zoals in de tabel staat. Gewiste gegevens staan nog tot dertig dagen in back-ups, die we nergens anders voor gebruiken.

Terug naar de inhoudsopgave

Voor iedereen

Hoe we je gegevens beschermen

Elke werkgever kan alleen bij de eigen gegevens. Het dashboard kan geen gesprekken met Joy lezen, en geen telefoonnummers of geboortedata van chauffeurs. Dat is in de database zelf geregeld.

Bij onze database kunnen nu alleen twee mensen van WorkerJoy. Je werkgever komt alleen via het dashboard bij de eigen gegevens, en kan nooit rechtstreeks in onze database.

Gaat er toch iets mis, dan melden we dat zoals de wet vraagt. Gaat het om Joy, je aanmelding in WhatsApp of iets anders waarvoor WorkerJoy zelf verantwoordelijk is, dan melden we het bij de Autoriteit Persoonsgegevens, tenzij er waarschijnlijk geen risico voor je is, en aan jou als het risico voor je groot is. Gaat het om de meting, dan melden we het binnen 24 uur nadat we het ontdekten aan je werkgever. Je werkgever beslist dan of het aan de Autoriteit Persoonsgegevens en aan jou wordt gemeld, en wij helpen daarbij.

Terug naar de inhoudsopgave

Voor iedereen

De wettelijke reden: de grondslag

De privacywet vraagt voor elk gebruik van gegevens een wettelijke reden: de grondslag. Hieronder per onderdeel: wie verantwoordelijk is, waarvoor, welke gegevens en op welke grond.

• De meting (de lijst van chauffeurs, de uitnodigingen, je antwoorden, de cijfers, thema’s, actiekaarten en wat er per team speelt in het dashboard, de meldingen die chauffeurs via Joy aan hun werkgever lieten doorgeven, vanaf hun ja, en de accounts van wie met het dashboard werkt). Je werkgever bepaalt het doel en de grondslag en is verwerkingsverantwoordelijke; WorkerJoy verwerkt de gegevens als verwerker, volgens diens schriftelijke instructies. Welke grond past, beoordeelt je werkgever. Wij hebben je werkgever gerechtvaardigd belang voorgesteld (artikel 6 lid 1 onder f AVG): op tijd zien waar het werk zwaar wordt en daar iets aan doen, als deel van de zorg voor gezond werk die de Arbowet vraagt. Het doorgeven van een melding aan je werkgever rust op je eigen JA bij die melding (toestemming, artikel 6 lid 1 onder a en, als het over gezondheid gaat, artikel 9 lid 2 onder a AVG). Wat je werkgever daarna met de melding doet, doet je werkgever op een eigen grond, en alleen om het op te lossen. De accounts in het dashboard hebben een eigen doel: inloggen, bepalen wie welke teams ziet, bijhouden wie toegang gaf en die toegang beveiligen. Ook daarvoor hebben we je werkgever gerechtvaardigd belang voorgesteld. Welke grond je werkgever kiest en waarom, moet je werkgever zelf onderbouwen en je vertellen in de informatie die je van je werkgever krijgt.
• Je aanmelding in WhatsApp. WorkerJoy is verantwoordelijk. Gegevens: je nummer, wanneer je je aanmeldde, of de telefoon van jou is, je taalkeuze, STOP en een nieuw nummer; wat de lijst van chauffeurs zegt over je taal, of je in dienst bent en van wie je telefoon is; en als je uit dienst gaat met je eigen telefoon, twee jaar een onleesbare code van je nummer, met je oude werkgever en je taal. Doel: je berichten sturen en die van jou ontvangen op het nummer dat je ons zelf gaf, weten in welke taal Joy je schrijft als je zelf geen taal koos, en weten of Joy op je nummer blijft als je uit dienst gaat. Grond: gerechtvaardigd belang van WorkerJoy, want zonder dat kunnen we je de vragenlijst en Joy niet bieden. Met STOP krijg je geen vragenlijst meer en begint Joy zelf geen gesprek; je nummer blijft dan wel bij ons. Wil je dat ook je nummer weg is, stuur dan VERGEET MIJ.
• Het gesprek met Joy. WorkerJoy is verantwoordelijk. Gegevens: wat je Joy schrijft en wat zij antwoordt, ook als je daarin iets over je gezondheid vertelt. Doel: met je praten. Grond: je uitdrukkelijke toestemming (artikel 6 lid 1 onder a en artikel 9 lid 2 onder a AVG): de JA die Joy vraagt bij je eerste bericht. Die JA dekt vier dingen, en de vraag noemt ze alle vier: dat het taalmodel je berichten leest om te antwoorden, ook om te zien of een gesprek over gevaar gaat; dat we je berichten 30 dagen bewaren; dat het taalmodel na een gesprek een korte samenvatting maakt, die Joy onthoudt tot je twee jaar niet met haar praat, ook als je later met hetzelfde nummer bij een andere werkgever meedoet; en dat Joy vier weken onthoudt dat een gesprek over gevaar ging, om je één keer te vragen of iemand van WorkerJoy het mag teruglezen. Voor de samenvatting vragen we het taalmodel je gezondheid weg te laten, tenzij je dat apart goedvond; komt het er toch in, dan valt dat onder deze JA. Een aparte ja is nodig voor: dat Joy iets over je gezondheid langer onthoudt, je bewaarde antwoorden, iets doorgeven, en teruglezen na een markering. Bij de bedrijfsarts is je ja dat je Joy zelf je telefoonnummer of e-mailadres stuurt. Nakijken gebeurt alleen als jij Joy daar zelf om vraagt en daarna JA zegt op haar vaste vraag. Je eerste JA kun je altijd intrekken, met JOY UIT (artikel 7 lid 3 AVG). Dan wissen we je gesprekken met Joy en alles wat ze van je onthoudt, want zonder die JA is er geen grond meer om het te bewaren (artikel 17 lid 1 onder b AVG); de vragenlijst en je nummer blijven. VERGEET MIJ wist daarnaast ook je nummer en zet een STOP; wat we dan wissen en wat we niet kunnen wissen, staat onder “Je gegevens laten verwijderen”.
• Wat Joy van je onthoudt (een korte samenvatting en de naam die je haar gaf). WorkerJoy is verantwoordelijk. Doel: dat Joy je de volgende keer nog kent, ook als je je met hetzelfde nummer aanmeldt bij een andere werkgever die WorkerJoy gebruikt. Grond: je eerste JA (hierboven), omdat er in de samenvatting iets over je gezondheid kan staan. Iets over je gezondheid onthoudt ze bewust alleen na je aparte JA (artikel 9 lid 2 onder a AVG). Met OPNIEUW vraag je ons te wissen wat Joy van je weet; je JA blijft dan staan, dus na een volgend gesprek maakt ze wel weer een samenvatting. Wil je dat ze niets meer van je onthoudt en niets meer leest, stuur dan JOY UIT; met VERGEET MIJ wissen we daarnaast ook je nummer (zie “Je gegevens laten verwijderen”).
• Wat WorkerJoy zelf telt. WorkerJoy is verantwoordelijk, ook al komen de cijfers uit de meting. Gegevens: de tellingen die bij de vragenlijst en bij het dashboard onder “Wat WorkerJoy zelf telt” staan: de pilotcijfers (aanmelden, STOP, Joy, teams en links, per werkgever en per team, en per team ook de scores en de gekozen werkonderwerpen), de tellingen per werkgever per dag, het dashboardgebruik en de totalen voor alle werkgevers samen. Doel: een pilot op tijd bijsturen, je werkgever begeleiden, de dienst verbeteren en uit alle pilots samen leren. Grond: gerechtvaardigd belang van WorkerJoy; we hebben vastgelegd waarom het nodig is en waarom jouw belangen niet zwaarder wegen. Waarborgen: geen naam of telefoonnummer, en een team alleen bij de pilotcijfers per team, met een score alleen van een meting waarin elk team van de werkgever er minstens 5 inleverde en minstens 7 chauffeurs telt; bij een werkgever met één team is het cijfer van de werkgever ook dat van het team; bij minder dan 5 links niet hoeveel er zijn gebruikt, en geen totaal onder de tien; nu zien alleen de twee oprichters de cijfers; we geven ze aan niemand, ook niet aan je werkgever. De pilotcijfers rekenen we uit als we kijken, behalve per team het aantal op de lijst, de aanmeldingen en de gekozen werkonderwerpen, die we dertien weken bewaren; de rest bewaren we twee jaar. Bezwaar maken kan per mail. Ben je chauffeur, dan markeren we je telefoonnummer. Vanaf dat moment tel je niet meer mee in de pilotcijfers, de uitnodigingen per dag en de totalen van de vragenlijst, bij elke werkgever waar dat nummer bekend is. Per team blijf je wel in de scores en de gekozen werkonderwerpen: een antwoord en een keuze dragen geen naam, nummer of link, dus we kunnen ze er niet uithalen, en de score is die van het dashboard van je werkgever. Van een meting waarin jij een link kreeg, tonen we per team geen aantallen en geen score, bij geen enkel team van je werkgever, en van die maand geen werkonderwerpen. Het dashboard van je werkgever toont de score van je team wel, als de meting gesloten is, en ons totaal per werkgever telt jou niet: wie bij ons die twee naast elkaar legt, kan soms zien of je inleverde. Zolang je links krijgt, zien we per team niet in welk team je zit. Krijg je geen links meer, dan tellen je links per team niet meer mee terwijl je aanmelding blijft staan tot het aantal op de lijst daalt, en kan wie bij ons de cijfers van vóór en na naast elkaar legt zien in welk team je zit, zoals na een STOP. Een link die je al had, telt mee zoals hij verstuurd is: een gebruikte link is niet meer aan jou te koppelen, en hem er later uithalen zou laten zien of je hem al had gebruikt. Wat we eerder telden en bewaarden, blijft staan, zonder naam. In het aantal chauffeurs op de lijst van je werkgever tel je wel mee, want die lijst is van je werkgever. Werk je met het dashboard, dan tellen we je vanaf dan niet meer mee bij het inloggen en het gebruik; wat we daarvoor telden, blijft staan, zonder naam.
• Onze eigen zaken: de pilotovereenkomst met je bedrijf op grond van een overeenkomst (artikel 6 lid 1 onder b); een pilotaanvraag, een documentaanvraag en de gegevens van wie namens een bedrijf tekent, contact houdt of het dashboard gaat beheren op grond van ons gerechtvaardigd belang om met dat bedrijf een pilot af te spreken en uit te voeren (onder f); onze boekhouding op grond van een wettelijke plicht (onder c), en het beheer en de beveiliging van ons platform, het serverlogboek en het laden van het lettertype van Fontstand op grond van gerechtvaardigd belang. Hoe vaak onze uitleg voor chauffeurs wordt gelezen, tellen we zelf, zonder cookie; dat staat hierboven bij “Wat WorkerJoy zelf telt”. Een citaat van iemand van een pilot-partner, met naam en functie, gebruiken we alleen als die persoon en de pilot-partner de letterlijke tekst, de naam en functie en waar het verschijnt per mail goedkeurden; trekt een van beiden dat in, dan gebruiken we het niet meer.

Moet je meedoen? Nee. Aanmelden, invullen en Joy schrijven mag, maar hoeft niet. Niet meedoen mag geen gevolgen hebben voor je werk: je werkgever belooft ons niemand daarom te benadelen. Op de lijst van chauffeurs zet je werkgever je wel; daar kies je niet zelf voor. Je aanmelding is het ja dat WhatsApp vraagt om je berichten te sturen, geen toestemming in de zin van de privacywet. De vraag of Joy je antwoorden mag onthouden, die je na het aanmelden krijgt, hoort daar niet bij: dat is een aparte JA, en NEE zeggen verandert niets aan meedoen.

Terug naar de inhoudsopgave

Voor iedereen

Je rechten

Je mag je gegevens inzien, laten verbeteren of wissen, het gebruik laten beperken, bezwaar maken, je gegevens meenemen en een ja terugnemen; wat we vóór dat terugnemen met je ja deden, blijft wel geldig. Dat kost niets. Wissen kunnen we wat wij bewaren. Wat al bij een ander is, zoals berichten bij Meta of wat je aan de bedrijfsarts liet doorgeven, kunnen wij niet wissen. Een melding die je aan je werkgever liet doorgeven, is niet meer aan jou gekoppeld, dus VERGEET MIJ vindt die niet; zeg ons welke het is, dan kan ze worden verbeterd of gewist. Een melding over benadeling wissen we als je ons mailt met je meldcode. Wat er na VERGEET MIJ blijft, staat onder “Je gegevens laten verwijderen”.

• Joy, je aanmelding in WhatsApp en wat WorkerJoy zelf doet: mail privacy@workerjoy.nl.
• De meting is van je werkgever. Wat je werkgever over je op de lijst van chauffeurs zette, zoals je naam, team, taal, je status en van wie je telefoon is, kun je bij HR inzien; vraag HR ook om een correctie, en wij helpen je werkgever daarbij. Je geboortedatum kan HR niet teruglezen, want die staat alleen als onleesbare code; HR kan hem wel opnieuw invullen. Mail je ons over de meting, dan zeggen we je dat je werkgever ervoor verantwoordelijk is en hoe je die bereikt, zoeken we uit wat er over je is, en laten we je werkgever binnen vijf werkdagen weten dát er een verzoek is, wat voor verzoek en welke termijn loopt, zonder je naam of iets anders dat naar jou wijst, tenzij jij zegt dat het mag. Je antwoorden op de vragenlijst staan zonder naam vanaf het moment dat je ze verstuurt, en de nacht erna wissen we de koppeling met je uitnodiging. Vraag je het ons vóór die nacht, dan zoeken we met die koppeling en bewaren we wat we vinden tot we je hebben geantwoord; daarna gaat de koppeling alsnog weg. Na die nacht staat nog tot de volgende vragenlijst uitgaat dat je antwoordde en op welke dag; ook dat krijg je. Kun je ons daarna zelf iets geven waarmee je eigen antwoorden zonder twijfel te vinden zijn, en wijst dat niet ook naar de antwoorden van een ander, dan gebruiken we dat; anders leggen we je uit waarom het niet kan.
• Meteen in WhatsApp: STOP, START, OPNIEUW, TAAL, NIEUW NUMMER, JOY UIT en VERGEET MIJ. Een ja terugnemen doe je zo: dat Joy je antwoorden onthoudt, door het vinkje weg te halen op je volgende vragenlijst; dat Joy alles over je gezondheid mag onthouden, door het tegen Joy te zeggen; een los onderwerp over je gezondheid, met OPNIEUW, waarmee Joy alles vergeet wat ze van je weet; en je JA dat Joy je berichten leest of een gesprek over gevaar mag teruglezen, met JOY UIT. Een melding of je gegevens voor de bedrijfsarts zijn na je ja al doorgegeven; wat dan nog kan, staat hierboven.

Ben je chauffeur en mail je ons, dan mailen we je een zin terug. Die stuur je vanaf je eigen nummer naar Joy, zo weten we zeker dat het nummer van jou is. Heb je dat nummer niet meer, dan controleren we je naam, geboortedatum en werkgever tegen de lijst van chauffeurs. Alleen als we daarna nog een concrete reden hebben om te twijfelen, vragen we iets meer, en nooit een kopie van je identiteitsbewijs. Mail je over een melding over benadeling, dan is je meldcode genoeg. Je krijgt binnen een maand antwoord, meestal sneller. Is je verzoek ingewikkeld of krijgen we er veel tegelijk, dan mag dat twee maanden langer duren; dat laten we je dan binnen die eerste maand weten, met de reden.

Terug naar de inhoudsopgave

Voor iedereen

Je gegevens laten verwijderen

Stuur VERGEET MIJ in WhatsApp en bevestig met JA. Dan wissen we je gesprekken met Joy op dit nummer, ook die bij een vorige werkgever, alles wat Joy van je weet en je nummer.

• Stuur VERGEET MIJ, of hetzelfde in je eigen taal.
• Je krijgt de vraag of je het zeker weet.
• Stuur JA als volgende bericht, binnen een dag.

Liet je Joy je antwoorden onthouden, dan wissen we haar kopie ook. Daarna zetten we een STOP, zodat je geen vragenlijst meer krijgt. Wil je later weer meedoen, meld je dan opnieuw aan met de QR-code op de poster; START alleen is dan niet genoeg. Wil je alleen kwijt wat Joy van je heeft, en de vragenlijst houden? Stuur dan JOY UIT (zie Wat je zelf kunt sturen).

Wat er blijft

• Je antwoorden op de vragenlijst: VERGEET MIJ wist die niet, want ze horen bij de meting van je werkgever. Ze staan zonder naam, en de nacht na het invullen wissen we de koppeling met je uitnodiging; vanaf de nacht nadat de volgende vragenlijst uitging, staat nergens meer welke antwoorden van jou zijn. En je plek op de lijst van chauffeurs, die van je werkgever is.
• Een melding die je al aan je werkgever liet doorgeven: die hangt niet meer aan jou, maar zeg je ons welke het is, dan kan ze alsnog worden gewist. Een verzoek aan de bedrijfsarts dat je al liet doorgeven: dat ligt bij de bedrijfsarts. Een melding over benadeling blijft hooguit twaalf maanden; mail je ons je meldcode, dan wissen we haar. Je STOP, als onleesbare code van je nummer, zodat je geen vragenlijst meer krijgt. Maakte je bezwaar tegen wat WorkerJoy zelf telt, dan blijft ook dat staan, als dezelfde code, zodat we je niet weer gaan meetellen. En wie van WorkerJoy een gesprek van je opende en wanneer; dat bewaren we twee jaar.
• Gesprekken op een eerder nummer: van vóór je NIEUW NUMMER stuurde, of op een nummer dat we al van Joy hadden losgekoppeld, zoals een telefoon van de zaak die je inleverde. Die horen dan niet meer bij wat Joy van je weet, en gaan weg na hun eigen termijn (zie “Hoe lang we iets bewaren”).
• Bij Meta: berichten tot dertig dagen, en je nummer in de contactenlijst. In back-ups: kopieën, hooguit dertig dagen.
• De chat op je telefoon: die wis je zelf.

Terug naar de inhoudsopgave

Voor iedereen

Een klacht

Niet tevreden? Mail ons: privacy@workerjoy.nl. Je mag altijd klagen, ook zonder ons eerst te mailen, bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl), of bij de toezichthouder in het EU-land waar je woont, werkt of waar het volgens jou misging.

Terug naar de inhoudsopgave

Voor iedereen

Wijzigingen en versie

Versie 1.0.3, 29 oktober 2026. Wat nu in gebruik is: de website, de formulieren voor een pilot, voor onze documenten en voor de gegevens van een pilotovereenkomst, het ondertekenen via Youtrust, en ons WhatsApp-nummer, dat nog geen berichten beantwoordt. De vragenlijst (ook de voorbeeldvragenlijst), Joy en het dashboard gebruiken we nog niet met echte chauffeurs of werkgevers. Wat daarover hier staat, beschrijft hoe ze gaan werken, en we beginnen er pas mee als dat ook zo werkt.

Verandert er iets, dan staat hier een nieuwe datum. Willen we gegevens waarvoor we zelf verantwoordelijk zijn, voor iets nieuws gebruiken, dan zeggen we dat vooraf: hier, en aan chauffeurs ook op de vragenlijst of in WhatsApp. Bij de meting beslist je werkgever daarover, niet wij.

Terug naar de inhoudsopgave