Privacyverklaring

Community Z is de verwerkingsverantwoordelijke voor de gegevens die via je aanmelding, het MDT-traject, het FastForward-traject en dit platform worden verwerkt. Je kunt ons als volgt bereiken:

• Community Z
• Lulofsstraat 55, 2521 AL Den Haag
• KvK-nummer: 89933907
• E-mail: info@communityz.nl

Deze verklaring geldt voor iedereen van wie we gegevens verwerken via het platform en de bijbehorende trajecten: deelnemende studenten, begeleiders/coaches, en contactpersonen bij scholen, opdrachtgevers en partnerorganisaties (in hun professionele rol).

Afhankelijk van waar je je in het traject bevindt en welke rol je hebt, verwerken we de volgende gegevens:

Van deelnemende studenten

• Identiteit: je naam en geboortedatum.
• Contactgegevens: je e-mailadres.
• Geslacht: met de mogelijkheid dit niet te delen.
• Intakegegevens: je school en opleiding, je motivatie om mee te doen, eerdere ervaring en opleidings-/werkstatus.
• Uitkeringssituatie: bij de aanmelding vragen we of je een uitkering ontvangt. Deze vraag is verplicht, maar je kunt altijd aangeven dat je dit liever niet deelt - dat heeft geen gevolgen voor je deelname en telt niet mee in de voortgang van het aanmeldproces.
• Ondersteuningssituatie: optioneel kun je aangeven of je extra ondersteuning ontvangt of nodig hebt.
• Ontwikkelscan: je motivatie, doelen, uitdagingen en begeleidingswensen.
• Trajectgegevens: gegevens over je deelname aan het MDT-traject (Maatschappelijke Diensttijd) en/of het FastForward-traject, waaronder je voortgang.
• Account: je registratie in het Community Z platform en de app, je rol, gekoppeld project en team, taalvoorkeur en datum laatste inlog.
• Door jou aangemaakte inhoud: ingeleverde opdrachten en bestanden, chatberichten en reacties, projectbord-kaarten (Kanban), feed-berichten, comments en hackathon-inzendingen.
• Aanwezigheid bij bijeenkomsten: of je er was, het tijdstip waarop je incheckte, het aantal minuten tussen de werkelijke start en dat tijdstip, en de daaruit afgeleide uitkomst (aanwezig, te laat, veel te laat of afwezig). Zie hieronder, 'Aanwezigheid en aankomsttijd'.
• Talent-profiel: skills, opleidingsniveau, LinkedIn-URL, beschikbaarheid, werkstatus en profielfoto indien geüpload. Je profiel is standaard zichtbaar voor medestudenten binnen het platform; werkstatus en beschikbaarheid zijn uitsluitend zichtbaar voor het Community Z-team. Je kunt de zichtbaarheid van je profiel voor medestudenten op elk moment zelf aanpassen in je instellingen.
• Gamification: toegekende badges, badge-voortgang, punten en level - uitsluitend zichtbaar voor jezelf en het Community Z-team, geen onderlinge ranglijst.
• Enquêtes: je antwoorden op enquêtes worden op naam vastgelegd en zijn uitsluitend zichtbaar voor het Community Z-team, niet voor je coach of medestudenten.
• Vastgelegde activiteit: welke onderdelen je bekijkt, waar je op reageert of een comment plaatst, voor welke events je je inschrijft, wat je inlevert en welke stappen je afrondt. We leggen géén IP-adres, géén precieze browserinformatie en géén kijkduur vast.
• Beeldmateriaal: foto's en video's waarop je herkenbaar in beeld bent, gemaakt tijdens trajecten of events. Dit verwerken we uitsluitend als je daar apart toestemming voor hebt gegeven.
• Externe contacten: als je in het kader van je projectopdracht organisaties of professionals benadert, kun je hun contactgegevens vastleggen in de projectomgeving (zie hieronder, ‘Contactgegevens vastgelegd door onze studenten’).
• Feedback/support: als je een melding doet via de feedbackknop, leggen we je melding, de pagina waarop je de melding deed, beperkte apparaatinformatie, een schermafbeelding van je eigen scherm en je e-mailadres vast.
• Pushmeldingen: als je daarvoor kiest, je pushabonnement per apparaat en je notificatievoorkeuren.
• Technisch: strikt noodzakelijke sessiegegevens om je ingelogd te houden.
• IP-adres op twee momenten: als je akkoord geeft op deze privacyverklaring en als je het aanmeldformulier ondertekent, leggen we het IP-adres vast waarvandaan dat gebeurde. Dat doen we uitsluitend om te kunnen aantonen dát die toestemming en die ondertekening hebben plaatsgevonden. We gebruiken het niet om je te volgen en koppelen het nergens aan je gedrag op het platform.

Aanwezigheid en aankomsttijd

Check je met de QR-code in bij een bijeenkomst, dan legt het platform het tijdstip van dat inchecken vast en berekent het hoeveel hele minuten daar zitten tussen de werkelijke start van de check-in en jouw scan. Daaruit volgt je aanwezigheid in vier gradaties: tot en met 10 minuten ben je aanwezig, van 11 tot en met 30 minuten te laat, vanaf 31 minuten veel te laat. Afwezig wordt niet door de klok bepaald, maar vastgesteld bij het sluiten van de check-in voor iedereen zonder registratie.

De meting begint op het moment dat een beheerder daadwerkelijk op 'Start check-in' klikt, en niet bij de tijd die in het programma staat. Begint een bijeenkomst zelf een kwartier later, dan ben je gewoon op tijd als je binnen tien minuten na dat werkelijke startmoment incheckt: vertraging van de organisatie komt niet op jouw conto. Registreert je begeleider of een partner je met de hand, dan wordt er geen tijd gemeten en blijft het minutenaantal leeg. Een correctie achteraf verandert de gemeten minuten nooit; alleen het scanpad legt ze vast.

Wie ziet dit? Jijzelf, direct na het scannen. Je begeleider ziet in zijn check-inscherm per deelnemer de uitkomst, het tijdstip en het aantal minuten, en kan een registratie toevoegen of corrigeren maar niet verwijderen. Het Community Z-team ziet hetzelfde. In de zaal toont de beamer bewust alleen een teller en geen uitsplitsing naar te laat, zodat niemand publiek wordt aangewezen. Een programmapartner ziet standaard uitsluitend aantallen per bijeenkomst, zonder namen. Alleen wanneer het Community Z-team dat per project aanzet, ziet die partner ook per naam de uitkomst in de vier gradaties; het tijdstip en het aantal minuten worden voor dat scherm niet opgehaald.

Wat we hierbij niet vastleggen: je locatie of GPS, je vertrektijd en hoe lang je aanwezig was. Om te voorkomen dat één telefoon twee accounts incheckt, bewaart je browser wel een willekeurig gegenereerde code; dat is uitdrukkelijk geen hardware-kenmerk en geen IP-adres. Elke handmatige registratie en elke correctie wordt apart vastgelegd met de oude en de nieuwe uitkomst, wie hem uitvoerde en wanneer.

Van contactpersonen bij scholen, opdrachtgevers en partners

• Naam, zakelijk e-mailadres, organisatie en rol.
• Uitnodigings- en accountstatus.
• Door de partner ingediende voorstellen met bijlagen, en gedeelde/geretourneerde documenten (die persoonsgegevens van ondertekenaars kunnen bevatten) met bijbehorende berichten.

Contactgegevens vastgelegd door onze studenten

Studenten van Community Z benaderen in het kader van hun project soms organisaties en professionals. Wanneer dat gebeurt, leggen we de contactgegevens die daarbij worden uitgewisseld (naam, functie, organisatie, contactgegevens, bron van het contact) vast in onze projectomgeving. Dit gebeurt uitsluitend ten behoeve van de begeleiding van het studentenproject en is alleen zichtbaar voor het eigen studententeam en het Community Z-team. We bewaren deze gegevens niet langer dan nodig voor het project (doorgaans tot 3-6 maanden na afronding). Wilt u weten welke gegevens we van u hebben vastgelegd, of wilt u dat we deze verwijderen? Neem contact op via info@communityz.nl. Als u heeft aangegeven op de hoogte gehouden te willen worden door Community Z zelf, gebruiken we uw gegevens daar met uw toestemming ook voor.

We gebruiken je gegevens voor de volgende doeleinden:

• Aanmelding en registratie: je aanmelding verwerken en je account aanmaken en beheren.
• Contact en begeleiding: contact met je onderhouden, je begeleiden tijdens het MDT- en/of FastForward-traject en je voortgang volgen.
• Platformfunctionaliteit: het projectbord, chat, community feed, events, certificaten en talent-netwerk laten werken.
• Deelnemersregistratie en verantwoording: je deelname registreren en NAW-gegevens en telefoonnummer delen met MDT (Maatschappelijke Diensttijd) ten behoeve van de subsidie en de verantwoording die daarbij hoort.
• Aanwezigheid en punctualiteit: vaststellen of je bij een bijeenkomst was en of je op tijd was, om je te kunnen begeleiden en om de deelname aan het traject te verantwoorden richting je school of opdrachtgever. De uitkomst telt mee voor je voortgang en voor het puntensysteem met badges.
• Programmaverbetering: geanonimiseerd/geaggregeerd inzicht in het gebruik van het programma om het traject en platform te verbeteren, en om het puntensysteem met badges te laten werken.
• Beeldmateriaal: foto's en video's gebruiken voor communicatie-uitingen van Community Z, uitsluitend met jouw aparte toestemming.
• Updates: je updates, nieuws en uitnodigingen sturen via e-mail, uitsluitend met jouw aparte toestemming.
• Relatiebeheer: de zakelijke relatie met scholen, opdrachtgevers en partners onderhouden.

We verwerken je gegevens om je aanvraag en je deelname aan het traject uit te voeren (uitvoering van de overeenkomst/aanvraag). Voor het onderhouden van contact, je begeleiding en de werking van het platform baseren we ons daarnaast op ons gerechtvaardigd belang; we beperken de verwerking daarbij tot het noodzakelijke.

Voor het gebruik van beeldmateriaal en voor het versturen van e-mailupdates vragen we je aparte, specifieke toestemming. Je bent niet verplicht deze toestemming te geven, en je kunt een gegeven toestemming op elk moment weer intrekken zonder dat dit gevolgen heeft voor je deelname.

Het platform en het traject zijn bedoeld voor jongeren vanaf 16 jaar. We verwerken geen bijzondere categorieën persoonsgegevens in de zin van de AVG (zoals gezondheid, ras of geloofsovertuiging). De uitkeringssituatie en ondersteuningssituatie zijn gevoelige gegevens die we met extra zorgvuldigheid behandelen: het delen ervan is nooit verplicht.

We nemen geen besluiten over jou die uitsluitend op geautomatiseerde verwerking berusten en die rechtsgevolgen voor je hebben of je in vergelijkbare mate treffen (artikel 22 AVG). Concreet: aan een te-laat-status hangt geen sanctie, het platform sluit niemand uit, beoordeelt niemand en stuurt er geen bericht of e-mail over. Wat er wél automatisch gebeurt, is dat de uitkomst meetelt voor je voortgang en voor je badges en punten. Een beoordeling van je werk is altijd mensenwerk, door je begeleider.

We bewaren je gegevens niet langer dan nodig is voor de hierboven genoemde doeleinden:

• Traject- en deelnemersgegevens: tot minimaal 2 jaar na afloop van het traject, mede vanwege de verantwoording richting MDT.
• Externe contactgegevens (vastgelegd door studenten): tot 3-6 maanden na afronding van het project, tenzij de contactpersoon toestemming heeft gegeven voor doorlopend contact.
• Documenten met scholen/opdrachtgevers/partners: zolang de samenwerking loopt; getekende contracten en officiële documenten bewaren we tot de wettelijke (fiscale) bewaartermijn is verstreken, ook na afloop van de samenwerking.
• Je e-mailadres voor updates: zolang je daarvoor ingeschreven staat. Je kunt je op elk moment afmelden.
• Beeldmateriaal: zolang dat nodig is voor de communicatiedoeleinden, tenzij je je toestemming intrekt.
• Aanwezigheidsgegevens (inclusief aankomsttijd en minuten): er geldt op dit moment geen vaste bewaartermijn en er draait geen taak die ze na verloop van tijd opruimt. Bij een verwijderverzoek gaan ze wel in één keer mee: al je aanwezigheidsregistraties, aankomsttijden en de code in je browser worden dan verwijderd.
• Vastgelegde activiteitsgegevens (wie-deed-wat-wanneer): standaard 90 dagen, daarna automatisch verwijderd.
• Pushmeldingsabonnement: zolang het actief is; vervalt zodra je push uitzet.

Om het Community Z-team inzicht te geven in het programma en om punten en badges te kunnen toekennen, leggen we een aantal van je acties op het platform vast.

• Wat we vastleggen: welke onderdelen je bekijkt, waar je een comment of reactie op plaatst, voor welke events je je inschrijft, wat je inlevert en welke stappen je afrondt - telkens met wie, welke actie, welk item en het tijdstip, plus een grove apparaatcategorie (mobiel/desktop). We leggen géén IP-adres, géén precieze browserinformatie en géén kijkduur vast. We gebruiken hiervoor geen externe trackingdiensten (zoals Microsoft Clarity of vergelijkbare tools) - alles blijft eerstepartij.
• Waarom: uitsluitend om (1) het Community Z-team inzicht te geven in het programma en (2) het puntensysteem met badges te laten werken. We verkopen deze gegevens niet en gebruiken ze niet voor selectie of beoordeling.
• Hoe lang: standaard 90 dagen (instelbaar), daarna automatisch verwijderd.
• Wie het ziet: alleen het Community Z-team. Begeleiders en andere studenten kunnen jouw herleidbare activiteit niet inzien.

Als je dat toestaat, kunnen we je pushmeldingen sturen op je apparaat (bijvoorbeeld bij nieuwe berichten of deadlines). Dit werkt alleen na jouw eigen toestemming op apparaatniveau en is op elk moment uit te zetten via je instellingen. De inhoud van iedere melding is end-to-end versleuteld, zodat de pushdienst van je browser/besturingssysteem (zoals Google of Apple) de inhoud niet kan lezen - wel ziet die dienst het bezorgmoment.

Via de feedbackknop in de app kun je meldingen of ideeën doorgeven, eventueel met een schermafbeelding van je eigen scherm. Je melding en e-mailadres worden voor opvolging vastgelegd in ons issue-systeem (GitHub, een Amerikaanse partij met een geldige verwerkersovereenkomst); schermafbeeldingen blijven in onze eigen, afgeschermde opslag en zijn alleen via kortlevende, beveiligde links te openen.

We verkopen je gegevens niet en delen ze niet met derden voor hun eigen doeleinden. Wel delen we gegevens met de volgende ontvangers en verwerkers, die uitsluitend namens of in afstemming met ons handelen:

• Teamleden van Community Z: zij verwerken je gegevens om je aanmelding, je begeleiding en het traject uit te voeren.
• MDT (Maatschappelijke Diensttijd): we delen NAW-gegevens en telefoonnummer ten behoeve van de subsidie en de verantwoording die daarbij hoort.
• HubSpot: ons systeem voor relatiebeheer en e-mailcommunicatie. Er is géén technische koppeling tussen het platform en HubSpot; een teamlid van Community Z zet gegevens daar handmatig in, en alleen wanneer dat voor het contact of de e-mailcommunicatie nodig is.
• GitHub: onze issue-tracker voor de opvolging van in-app feedback en meldingen.
• Supabase (database, authenticatie en opslag) - gehost in de EU.
• Vercel (hosting van de applicatie).
• Resend (verzenden van transactionele e-mails, zoals welkomst- en herstelmails).
• De pushdienst van je eigen browser/besturingssysteem (zoals Google of Apple), uitsluitend voor de bezorging van pushmeldingen die je zelf hebt aangezet.
• YouTube en Vimeo: sommige artikelen in de kennisbank tonen een video die bij die dienst staat. Open je zo'n artikel, dan haalt je browser die video rechtstreeks bij YouTube of Vimeo op en ziet die dienst dat verzoek. We gebruiken bij YouTube de variant die pas een cookie plaatst als je de video daadwerkelijk afspeelt.
• Externe AI-assistenten, uitsluitend als het Community Z-team daar zelf een sleutel voor aanmaakt: het platform heeft een afgeschermd koppelvlak waarmee een teamlid een assistent als Claude of Codex toegang kan geven tot platformgegevens. Elke sleutel heeft een houder, een beperkt bereik en een vervaldatum, is op elk moment in te trekken, en elk gebruik wordt vastgelegd. Zonder zo'n sleutel gaat er niets die kant op.

Sommige van onze ontvangers en verwerkers zijn in de Verenigde Staten gevestigd: Vercel, Resend, HubSpot, GitHub, YouTube en Vimeo, en de pushdienst van je browser/besturingssysteem (Google of Apple). Voor al deze partijen geldt een erkende waarborg - een DPF-certificering (EU-VS Data Privacy Framework) en/of Standaardcontractbepalingen (SCC's/UK IDTA) - die een vergelijkbaar beschermingsniveau als binnen de EU garandeert. Supabase, onze belangrijkste database- en opslagpartij, draait volledig in de EU (regio Ierland). Geeft een teamlid een externe AI-assistent toegang via een sleutel, dan hangt het van die assistent af waar de gegevens terechtkomen; die keuze maakt Community Z per geval.

We nemen passende technische en organisatorische maatregelen om je gegevens te beschermen tegen verlies en ongeoorloofde toegang. Toegang tot persoonsgegevens is beperkt tot de mensen die deze nodig hebben voor hun werk, gegevens worden versleuteld verzonden en het platform dwingt strikte scheiding tussen projecten af (row-level security), zodat gebruikers uitsluitend hun eigen project zien. Bestanden staan in privé-opslagbuckets, uitsluitend toegankelijk via kortlevende, ondertekende links.

Naast de twee momenten hierboven leggen we zelf geen IP-adressen vast; je gewone gebruik van het platform wordt niet aan een IP-adres gekoppeld. Bij het beveiligen van het inloggen gebruiken we je IP-adres wel kortstondig om te tellen hoeveel pogingen er zijn gedaan, maar we slaan het daarbij versleuteld op zodat het niet meer te herleiden is. Onze hostingpartij (Vercel) houdt daarnaast, los van onze eigen database, kortstondige technische logs bij (waaronder IP-adres) om storingen op te sporen en misbruik te voorkomen.

Dit platform gebruikt uitsluitend strikt noodzakelijke cookies. Er zijn geen analyse- of trackingcookies. Concreet gebruiken we:

• Een sessiecookie van Supabase om je ingelogd te houden.
• Een taalcookie (NEXT_LOCALE) die je voorkeurstaal onthoudt. Die wordt gezet wanneer je binnenkomt op een adres zonder taal erin en we je doorsturen; wissel je van taal met de knop, dan staat je keuze in het adres zelf.
• Een voorkeurscookie (comz_sidebar_collapsed) dat onthoudt of je het zijmenu ingeklapt had staan.
• Alleen voor contactpersonen van partners: een cookie (comz_partner_project) dat onthoudt welk project je het laatst bekeek, voor wie er meer dan één heeft.
• Alleen voor het Community Z-team: een cookie (cz_impersonate) dat bestaat zolang een teamlid het platform tijdelijk door de ogen van een deelnemer bekijkt, bijvoorbeeld om een melding na te lopen. Dat gebeurt niet stilzwijgend: er staat dan een balk in beeld die het meldt.
• Alleen voor het Community Z-team: twee cookies (onboarding_preview, wachtkamer_preview) die onthouden dat een teamlid een voorbeeldweergave van het aanmeldscherm of de wachtkamer heeft geopend.

Al deze cookies zijn functioneel: ze laten de dienst werken die je zelf hebt aangevraagd, of onthouden een voorkeur die je zelf hebt ingesteld. Er zit geen analyse- of trackingcookie tussen en we volgen je er niet mee over andere websites. Daarom is hiervoor onder de AVG/ePrivacy geen toestemming vereist en tonen we geen cookiebanner.

Onder de AVG heb je de volgende rechten met betrekking tot je persoonsgegevens:

• Inzage in de gegevens die we van je verwerken.
• Correctie van onjuiste gegevens.
• Verwijdering (recht om vergeten te worden).
• Bezwaar tegen de verwerking.
• Het intrekken van een eerder gegeven toestemming, op elk moment en voor de toekomst.
• Beperking van de verwerking.
• Overdraagbaarheid: een kopie van je gegevens in een leesbaar formaat.
• Een klacht indienen bij de Autoriteit Persoonsgegevens.

Je kunt je gegevens downloaden en een verwijderverzoek indienen via Instellingen → Gegevens & privacy. Je dient het verzoek zelf in; een teamlid van Community Z voert het uit. Bij een verwijdering wordt je profiel onherkenbaar gemaakt en wordt de rest van je gegevens echt verwijderd: je account, je activiteitsgegevens, je badges en punten, en je persoonlijke bestanden verdwijnen, en wat daaraan vastzit verdwijnt mee. Wat bewust blijft staan is de vastlegging dat je destijds akkoord bent gegaan met de privacyverklaring en met welke versie. Die is niet meer aan jou te koppelen zodra je account weg is, en hij blijft staan omdat we anders niet meer kunnen aantonen dat er om toestemming is gevraagd. Wil je alleen een eerder gegeven toestemming intrekken, bijvoorbeeld voor beeldmateriaal of e-mailupdates, dan kan dat los van een verwijderverzoek via info@communityz.nl. We reageren zo snel mogelijk en uiterlijk binnen de wettelijke termijn.

We kunnen deze privacyverklaring van tijd tot tijd aanpassen, bijvoorbeeld bij wijzigingen in het traject, het platform of de wet- en regelgeving. De meest actuele versie vind je altijd op deze pagina, met bovenaan de datum van de laatste wijziging. We houden per gebruiker bij welke versie van deze verklaring gold op het moment van instemming.