Versie 1.4 — geldig vanaf 19 augustus 2026 Wijzigingen ten opzichte van versie 1.3: redactionele (niet-materiële) wijziging — de persoonsverwijzing naar de uitzendkracht in §4.5 is genderneutraal gemaakt ("zijn" → "zijn/haar"). Er zijn geen inhoudelijke wijzigingen in verwerkingen, sub-verwerkers of grondslagen; her-acceptatie is niet vereist.

1. Inleiding

WTTA-Audit.nl B.V. respecteert uw privacy en gaat zorgvuldig om met persoonsgegevens. In deze Privacyverklaring leggen wij uit welke persoonsgegevens wij verwerken, voor welke doeleinden en op welke grondslag dat gebeurt, met wie wij gegevens delen, hoe lang wij ze bewaren en welke rechten u als betrokkene heeft.

2. Wie zijn wij en hoe kunt u ons bereiken?

De verwerkingsverantwoordelijke voor de in deze Privacyverklaring beschreven verwerkingen is: WTTA-Audit.nl B.V. Havenstraat 64, 1271 AG Huizen KvK-nummer: 42078341 E-mail: info@wtta-audit.nl Website: www.wtta-audit.nl Voor vragen over deze Privacyverklaring of de uitoefening van uw rechten als betrokkene kunt u contact opnemen via bovenstaand e-mailadres.

3. Onze rol: verwerker én verwerkingsverantwoordelijke

Bij de uitvoering van onze diensten vervullen wij twee verschillende rollen onder de AVG. Het is belangrijk dat u dit onderscheid begrijpt, omdat de toepasselijke regels per rol verschillen.

3.1 WTTA-Audit als verwerker

Voor het overgrote deel van de gegevens die u via ons Platform verwerkt — met name de inhoud van loonstroken, urenregistraties, kolommenbalansen, KvK-uittreksels, G-rekeningafschriften en andere documenten die u uploadt — treden wij op als verwerker in opdracht van uw werkgever of opdrachtgever (de klant van WTTA-Audit, hierna het "Bedrijf"). Het Bedrijf is in dat geval de verwerkingsverantwoordelijke en bepaalt het doel en de middelen van de verwerking. Wij verwerken die gegevens uitsluitend op basis van de instructies van het Bedrijf, zoals vastgelegd in onze Verwerkersovereenkomst. Indien u medewerker bent van een Bedrijf dat WTTA-Audit gebruikt en u vragen heeft over de verwerking van uw persoonsgegevens uit loonstroken of andere documenten van uw werkgever, dan dient u zich in eerste instantie tot uw werkgever te wenden. Wij verwijzen verzoeken tot uitoefening van rechten in beginsel door naar het Bedrijf.

3.2 WTTA-Audit als verwerkingsverantwoordelijke

Voor een aantal andere verwerkingen zijn wij wél zelfstandig verwerkingsverantwoordelijke. Het gaat dan om de verwerkingen die nodig zijn om ons eigen bedrijf te runnen en om onze diensten te kunnen leveren, beveiligen en doorontwikkelen. Deze Privacyverklaring beschrijft die verwerkingen.

4. Welke persoonsgegevens verwerken wij?

Afhankelijk van de manier waarop u met ons in contact staat, verwerken wij onder meer de volgende categorieën van persoonsgegevens.

4.1 Account- en contactgegevens

Wanneer een Bedrijf een Account aanmaakt en gebruikers toevoegt, verwerken wij van die gebruikers: naam, zakelijk e-mailadres, telefoonnummer (optioneel), functietitel, gebruikersrol binnen het Account en versleuteld opgeslagen wachtwoord.

4.2 Bedrijfsgegevens

Van het Bedrijf zelf verwerken wij: handelsnaam, vestigingsadres, KvK-nummer, btw-nummer, IBAN (voor facturatie), naam en functie van contactpersonen, en informatie over het gekozen abonnement en het gebruik van Credits.

4.3 Gebruiks- en loggegevens

Bij het gebruik van het Platform verwerken wij automatisch: IP-adres, browsertype en -versie, besturingssysteem, taalvoorkeur, tijdstip en duur van bezoeken, gebruikte functionaliteiten, foutmeldingen en logbestanden ten behoeve van beveiliging en troubleshooting.

4.4 Communicatiegegevens

Wanneer u contact met ons opneemt via e-mail, support of een formulier op de website, verwerken wij de inhoud van die communicatie, uw contactgegevens en eventuele bijlagen. De e-mailcorrespondentie via de @wtta-audit.nl-postvakken wordt sinds 12 juni 2026 verwerkt en opgeslagen binnen Microsoft 365 (Exchange Online) en via de Microsoft Graph API; zie §7.1 en §7.3.

4.5 Loonstrook-, audit- en dossiergegevens (in onze rol als verwerker)

Wanneer een Bedrijf loonstroken en andere auditdocumenten uploadt, verwerken wij de daarop voorkomende persoonsgegevens van medewerkers in opdracht van dat Bedrijf. Het gaat onder meer om: naam, adres, geboortedatum, personeelsnummer, functie, CAO-inschaling, loon, toeslagen, gewerkte uren, vakantiegeld en overige loonstrookelementen die nodig zijn voor de vergelijking met de gelijkwaardige beloning conform de Cao voor Uitzendkrachten 2026 en het WTTA-stelsel. Daarnaast verwerken wij, eveneens in onze rol als verwerker en uitsluitend op instructie van het Bedrijf, de volgende aanvullende categorieën van gegevens die nodig zijn voor de audit:

• Urenverantwoording per loonperiode: de per loonperiode geregistreerde en verloonde uren van een medewerker, ten behoeve van de aansluiting tussen gewerkte uren, urenregistratie en loonstrook;
• Door-uitlening-registratie: gegevens over het door- of onderuitlenen van een medewerker, vastgelegd per medewerker, ten behoeve van de controle op de keten van (door)uitlening;
• Huisvestingsgegevens (SNF): gegevens over de door of via het Bedrijf aan een medewerker geboden huisvesting, ter toetsing aan het SNF-normenkader (Stichting Normering Flexwonen), waaronder huisvestingsadres, type accommodatie en de bijbehorende huisvestingsdocumenten;
• Identiteitsdocumenten: gegevens uit en de paraatheid (aanwezigheid en geldigheid) van identiteitsdocumenten van medewerkers, voor zover het Bedrijf deze ter audit aanlevert of registreert;
• NAU-registercontrole: gegevens en bewijsstukken die nodig zijn voor de controle van een uitlener tegen het register voor Normering Arbeid van Uitzendondernemingen (NAU-register), waaronder een bewijslog van de uitgevoerde controle;
• CI-dossier: gegevens die deel uitmaken van het samenstelbare en exporteerbare dossier ten behoeve van een geaccrediteerde inspectie-instelling (CI), inclusief een steekproefsgewijze (sampleable) export daarvan;
• Pensioenfondsgegevens: gegevens over de toepasselijke pensioenfonds- en pensioennorm, gekoppeld op het niveau van de opdrachtgever en, waar van toepassing, de individuele medewerker, ten behoeve van de toetsing van de collectieve inlener-pensioennorm.

Burgerservicenummers (BSN) worden door het Platform versleuteld opgeslagen met behulp van een KMS-encryptiesleutel in een Europees datacenter. Wij verwerken BSN op basis van artikel 9 lid 2 sub b en artikel 9 lid 2 sub g AVG juncto de Waadi en de Wet aanpak schijnconstructies: het BSN is noodzakelijk om bij een audit door een geaccrediteerde inspectie-instelling of toezichthouder de identiteit van een uitzendkracht eenduidig te kunnen koppelen aan zijn/haar loonstrookgegevens, urenverantwoording, eventuele door-uitlening-registratie, huisvestingsgegevens, identiteitsdocumenten en pensioenfondsgegevens en aan de door de opdrachtgever aangeleverde arbeidsvoorwaarden (SETU). Het BSN wordt niet getoond in de gebruikersinterface, niet in rapporten, niet in e-mails en niet in logbestanden; ontsleuteling vindt uitsluitend plaats binnen een afgeschermde audit-functie en wordt elke keer geregistreerd in een audit-trail. Toegang tot deze functie is beperkt tot daartoe gemachtigde gebruikers binnen het Bedrijf. Identiteits- en huisvestingsdocumenten worden eveneens binnen de EER versleuteld opgeslagen en zijn uitsluitend toegankelijk voor daartoe gemachtigde gebruikers binnen het Bedrijf. Voor zover identiteitsdocumenten bijzondere of gevoelige gegevens (zoals een pasfoto of BSN) bevatten, verwerken wij deze uitsluitend voor zover dat voor de audit noodzakelijk is en op dezelfde grondslag als hierboven voor het BSN beschreven.

5. Voor welke doeleinden en op welke grondslag verwerken wij persoonsgegevens?

Wij verwerken persoonsgegevens uitsluitend voor zover dat noodzakelijk is voor één of meer van de volgende doeleinden. Hieronder vermelden wij per doeleinde de juridische grondslag onder artikel 6 AVG.

Wanneer wij persoonsgegevens verwerken op basis van een gerechtvaardigd belang, hebben wij een afweging gemaakt tussen ons belang (bijvoorbeeld bij beveiliging of klantbehoud) en uw rechten en vrijheden. U heeft het recht bezwaar te maken tegen verwerkingen op deze grondslag (zie hoofdstuk 9).

6. Geautomatiseerde verwerking en AI

Het Platform maakt gebruik van geautomatiseerde technieken, waaronder optische tekenherkenning (OCR) en kunstmatige intelligentie, om gegevens uit geüploade loonstroken, urenverantwoordingen, huisvestings- en identiteitsdocumenten en andere auditdocumenten uit te lezen en om de gelijkwaardige beloning vast te stellen volgens de dubbele toets uit de Cao voor Uitzendkrachten 2026 en het SNA-normenkader (SNA Handboek Normen 26.01 + Wtta-normenkader uit Staatscourant 2026, 6946). Deze geautomatiseerde verwerkingen vormen geen geautomatiseerde besluitvorming met rechtsgevolg of vergelijkbaar wezenlijk gevolg in de zin van artikel 22 AVG. Het Platform genereert classificaties ("conform", "attentie", "overtreding") als signalering en hulpmiddel; de uiteindelijke beoordeling van een uitzending, het herstellen van eventuele afwijkingen en de besluitvorming richting medewerker, inlener of Inspectie-instelling worden altijd door een mens (medewerker van het Bedrijf) genomen. Voor de AI-uitlezing maken wij gebruik van zorgvuldig geselecteerde leveranciers. Wij gebruiken loonstrook-, urenverantwoordings-, huisvestings-, identiteits- en pensioenfondsgegevens niet om generieke AI-modellen van leveranciers te trainen.

7. Met wie delen wij persoonsgegevens?

Wij verkopen persoonsgegevens niet aan derden. Wij delen persoonsgegevens uitsluitend in de volgende gevallen:

7.1 Sub-verwerkers

Wij maken bij de uitvoering van onze diensten gebruik van zorgvuldig geselecteerde sub-verwerkers. Met elk van deze sub-verwerkers hebben wij een verwerkersovereenkomst gesloten waarin wordt geregeld dat zij persoonsgegevens uitsluitend in opdracht van ons verwerken, met passende beveiligingsmaatregelen en in overeenstemming met de AVG. Op het moment van publicatie van deze Privacyverklaring betreft het onder meer:

• Onze cloudhosting-leverancier — hosting van het Platform in Europese datacenters (regio Frankfurt);
• Leveranciers van AI- en OCR-technologie voor de uitlezing van loonstroken, urenverantwoordingen, huisvestings- en identiteitsdocumenten en overige auditdocumenten;
• Microsoft (Microsoft Ireland Operations Limited / Microsoft Corporation) — voor de mailafhandeling van onze @wtta-audit.nl-postvakken via Microsoft 365 (Exchange Online) en de Microsoft Graph API. Deze postvakken kunnen persoonsgegevens van klanten en hun medewerkers bevatten (contactgegevens en de inhoud van e-mail en bijlagen). De verwerking vindt plaats binnen de EU Data Boundary (EER), op grond van de Microsoft Products and Services DPA (Microsoft Online Services DPA);
• Aanbieders van elektronische handtekeningdiensten — uitsluitend na activering van de PAdES-handtekening (zie de gefaseerde uitrol in Artikel 3.5 van de Gebruiksvoorwaarden);
• Leveranciers van e-mail-, support- en helpdesksoftware;
• Boekhoud- en facturatiesoftware en betaaldienstverleners;
• Aanbieders van monitoring-, analyse- en beveiligingsdiensten.

Een actuele lijst van sub-verwerkers is op aanvraag beschikbaar voor klanten van WTTA-Audit en is daarnaast als bijlage bij de Verwerkersovereenkomst opgenomen.

7.2 Andere ontvangers

Daarnaast kunnen wij persoonsgegevens delen met:

• Onze accountant, boekhouder en juridisch adviseur, voor zover dat nodig is voor onze bedrijfsvoering;
• Bevoegde autoriteiten, indien wij daartoe op grond van toepasselijke wet- en regelgeving verplicht zijn (bijvoorbeeld de Belastingdienst, toezichthouders, politie of de Autoriteit Persoonsgegevens);
• Partijen die zijn betrokken bij een eventuele fusie, overname of reorganisatie van WTTA-Audit, mits zij gebonden zijn aan passende geheimhoudings- en verwerkingsafspraken.

7.3 Doorgifte buiten de EER

Wij streven ernaar persoonsgegevens binnen de Europese Economische Ruimte (EER) te verwerken. De primaire hostinglocatie voor het Platform bevindt zich in Europese datacenters (regio Frankfurt). Ook de mailafhandeling via Microsoft 365 vindt primair plaats binnen de EU Data Boundary (EER). Indien voor specifieke ondersteunende diensten (bijvoorbeeld bepaalde monitoring- of beveiligingsdiensten, of incidentele ondersteuning op de Microsoft 365-omgeving) een doorgifte naar landen buiten de EER nodig is, vindt deze doorgifte uitsluitend plaats op basis van een door de Europese Commissie genomen adequaatheidsbesluit, op basis van Standaardcontractbepalingen ("SCC"s) aangevuld met passende aanvullende waarborgen, of op basis van een andere in de AVG voorziene grondslag voor doorgifte naar derde landen. Voor Microsoft geldt dat Microsoft Corporation is gecertificeerd onder het EU-US Data Privacy Framework (adequaatheidsbesluit) en dat de Microsoft Products and Services DPA daarnaast de SCC's (uitvoeringsbesluit 2021/914) als aanvullende doorgiftewaarborg bevat.

8. Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan noodzakelijk voor de doeleinden waarvoor zij zijn verzameld, of zoals voorgeschreven door wet- en regelgeving. Wij hanteren onder meer de volgende bewaartermijnen:

• Account- en gebruiksgegevens: voor de duur van het Account, plus maximaal twaalf (12) maanden na beëindiging, waarna gegevens worden verwijderd of geanonimiseerd. Het Bedrijf wordt voorafgaand aan verwijdering in de gelegenheid gesteld de eigen data te downloaden;
• Loonstrook-, audit- en dossierdata (verwerker-rol): conform de instructies van het Bedrijf; bij beëindiging van het Abonnement wordt deze data verwijderd na een redelijke termijn van ten minste dertig (30) dagen. Op verzoek van het Bedrijf kan dit eerder gebeuren;
• Facturatie- en boekhoudgegevens: zeven (7) jaar, conform de fiscale bewaarplicht (artikel 52 AWR);
• Communicatie met klantenservice: drie (3) jaar na laatste contact;
• Beveiligings- en logbestanden: in beginsel maximaal twaalf (12) maanden;
• Marketinggegevens van prospects: tot intrekking van toestemming, en uiterlijk drie (3) jaar na het laatste contactmoment;
• Burgerservicenummers (BSN) en identiteitsdocumenten: worden versleuteld bewaard zolang het bijbehorende medewerker-dossier actief is bij het Bedrijf; bij verwijdering van het dossier of beëindiging van het Abonnement worden het BSN, de identiteitsdocumenten en de bijbehorende encryptiesleutels onomkeerbaar vernietigd binnen dertig (30) dagen, behoudens een fiscale of audit-rechtelijke bewaarplicht;
• Gegevens die nodig zijn voor de vaststelling, uitoefening of verdediging van rechtsvorderingen: tot de relevante verjaringstermijn is verstreken.

9. Uw rechten als betrokkene

U heeft op grond van de AVG de volgende rechten met betrekking tot uw persoonsgegevens:

• Recht op inzage: u kunt opvragen welke persoonsgegevens wij van u verwerken;
• Recht op rectificatie: u kunt verzoeken om correctie van onjuiste of onvolledige gegevens;
• Recht op verwijdering ("recht om vergeten te worden"): u kunt verzoeken om verwijdering van uw gegevens, voor zover wij geen wettelijke of contractuele grondslag hebben om deze te bewaren;
• Recht op beperking van de verwerking: u kunt verzoeken om verwerking van uw gegevens tijdelijk stop te zetten;
• Recht op dataportabiliteit: u kunt verzoeken om uw gegevens in een gangbaar, gestructureerd en machineleesbaar formaat te ontvangen of rechtstreeks aan een andere verwerkingsverantwoordelijke over te dragen;
• Recht van bezwaar: u kunt bezwaar maken tegen verwerkingen op grond van gerechtvaardigd belang, waaronder verwerking voor direct marketing;
• Recht om toestemming in te trekken: indien een verwerking op uw toestemming is gebaseerd, kunt u die toestemming op elk moment intrekken zonder dat dit afbreuk doet aan de rechtmatigheid van verwerkingen voorafgaand aan de intrekking;
• Recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens (www.autoriteitpersoonsgegevens.nl).

U kunt uw rechten uitoefenen door een verzoek te sturen naar het in hoofdstuk 2 genoemde e-mailadres. Wij reageren binnen één (1) maand op uw verzoek. In complexe gevallen kunnen wij deze termijn verlengen met maximaal twee (2) maanden, waarover wij u dan binnen één (1) maand informeren. Om uw identiteit vast te stellen, kunnen wij u vragen om aanvullende informatie. Indien u medewerker bent van een Bedrijf dat WTTA-Audit gebruikt en uw verzoek betrekking heeft op gegevens uit loonstroken of andere documenten van uw werkgever, verwijzen wij u door naar uw werkgever, die voor die verwerking de verwerkingsverantwoordelijke is.

10. Beveiliging

Wij hebben passende technische en organisatorische maatregelen genomen om persoonsgegevens te beveiligen tegen verlies, misbruik of onbevoegde toegang, wijziging of verstrekking. Tot deze maatregelen behoren onder meer:

• Versleuteling van persoonsgegevens in transport (TLS) en in rust (encryption-at-rest);
• Strikte data-isolatie per tenant: gegevens van klant A komen technisch niet bij klant B;
• Hosting binnen de EER, in de regio Frankfurt;
• Toegangsbeheer op basis van rol en het principe van minimale toegang ("least privilege");
• Logging en monitoring van toegang tot persoonsgegevens;
• Periodieke beveiligingstests en kwetsbaarheidsscans;
• Geheimhoudingsverklaringen voor medewerkers en sub-verwerkers;
• Een vastgestelde procedure voor het melden en afhandelen van datalekken.

Indien zich onverhoopt een datalek voordoet dat tot een risico voor betrokkenen kan leiden, melden wij dit binnen 72 uur na ontdekking aan de Autoriteit Persoonsgegevens en, waar vereist, aan de betrokkenen en/of het betrokken Bedrijf.

11. Cookies en vergelijkbare technieken

Op onze website www.wtta-audit.nl en in het Platform maken wij gebruik van cookies en vergelijkbare technieken. Een gedetailleerd overzicht van de gebruikte cookies, hun doel en bewaartermijnen vindt u in onze Cookieverklaring op www.wtta-audit.nl/cookies. Voor het plaatsen van niet-functionele cookies (zoals analytische cookies waarvoor geen uitzondering geldt, en marketing-cookies) vragen wij uw toestemming via een cookiebanner. U kunt uw cookie-instellingen op elk moment aanpassen via de cookiebanner.

12. Kinderen

Onze Diensten zijn niet gericht op kinderen onder de 16 jaar. Wij verzamelen niet bewust persoonsgegevens van kinderen onder de 16 jaar. Indien u meent dat wij dergelijke gegevens onbedoeld hebben verzameld, neem dan contact met ons op, dan zullen wij deze gegevens zo spoedig mogelijk verwijderen.

13. Wijzigingen in deze Privacyverklaring

Wij kunnen deze Privacyverklaring van tijd tot tijd wijzigen, bijvoorbeeld bij wijzigingen in onze dienstverlening, bij nieuwe wettelijke verplichtingen of bij voortschrijdend inzicht. De meest recente versie is te raadplegen op www.wtta-audit.nl/privacy. Bij ingrijpende wijzigingen die u rechtstreeks raken, zullen wij u hierover actief informeren via een melding op het Platform en/of per e-mail.

— Einde Privacyverklaring —