Privacy en gegevensverwerking

Het HAN Juridisch Platform is een intern werkplatform voor medewerkers van de juridische afdeling. Het ondersteunt drie dingen: het bijhouden van juridische dossiers (zaken), het invullen en exporteren van contracten en formulieren, en het laten analyseren van een geüpload document.

Alleen medewerkers met een HAN-account kunnen inloggen. Zelfregistratie is uitgeschakeld en accounts op andere e-maildomeinen worden bij het aanmaken geweigerd.

• Je account: naam, e-mailadres en je rol (medewerker of beheerder).
• Zaken: titel, omschrijving, eigenaar, status, prioriteit, deadline en het zaaknummer.
• Notities bij een zaak, met de naam van de schrijver en het tijdstip.
• Bijlagen die bij een zaak worden geüpload (maximaal 25 MB per bestand, alleen bepaalde bestandstypen).
• Contractantwoorden en concepten: alles wat in een formulier is ingevuld.
• Geschiedenis: statuswijzigingen van zaken en concepten, met de naam van degene die ze wijzigde.
• Logboek: wie een document downloadde, wie aan een zaak werd toegevoegd of eruit gezet, wie iemands rol wijzigde en wie een document door de documentreview haalde. Dit logboek bestaat om een datalek te kunnen reconstrueren en is alleen voor beheerders zichtbaar.

De inhoud van een dossier bepaal je zelf. Zet er geen gegevens in die er niet in horen: het platform controleert de inhoud van notities en bijlagen niet.

Toegang is per zaak geregeld. Je ziet een zaak alleen als je er lid van bent, plus alles wat eraan hangt: notities, bijlagen en gekoppelde contracten. Dat wordt in de database zelf afgedwongen, niet alleen in het scherm.

Een beheerder kan alle zaken zien, rollen wijzigen en het logboek lezen. De eigenaar van een zaak en een beheerder kunnen iemands toegang tot die zaak weer intrekken.

Een contract dat je zonder gekoppelde zaak aanmaakt, is alleen voor jou zichtbaar.

De database en de bijlagen staan bij Supabase in de regio eu-west-1 (Ierland). De applicatie draait bij Vercel in de regio fra1 (Frankfurt). Alles wat het platform opslaat en verwerkt blijft daarmee binnen de Europese Unie.

Nog vast te stellen door de HAN: de verwerkersovereenkomsten met Supabase en Vercel.

Als je bij Documentreview een PDF of Word-bestand uploadt, wordt de tekst eruit gehaald en naar een externe analyseomgeving gestuurd. Die omgeving staat los van dit platform.

Dat betekent: zet daar geen stukken in die het platform niet mogen verlaten. Elke keer dat dit gebeurt, wordt vastgelegd wie het deed en om welk bestand het ging.

Nog vast te stellen door de HAN: wie de analyseomgeving beheert, waar die draait, of er een taalmodel achter zit, en de bijbehorende verwerkersovereenkomst.

Het platform plaatst één soort cookie: een sessiecookie waarmee je ingelogd blijft. Die is strikt noodzakelijk om te kunnen inloggen en valt daarmee onder de uitzondering van artikel 11.7a van de Telecommunicatiewet — daar is geen toestemming voor nodig, en daarom zie je geen cookiebanner.

Er zijn geen analytics-, tracking- of advertentiecookies, en er worden geen scripts van derden geladen.

Nog vast te stellen door de HAN: de bewaartermijn. Die is nog niet vastgesteld en het platform verwijdert op dit moment niets automatisch. Voor een onderwijsinstelling volgt de termijn uit de selectielijst en de Archiefwet; zolang die niet is vastgelegd, kan deze pagina er geen uitspraak over doen.

Wat wél geldt: verwijder je een zaak, dan verdwijnen de notities, de bijlagen (ook de bestanden zelf) en de gekoppelde geschiedenis. Contractconcepten die je zelf hebt gemaakt blijven bestaan als persoonlijk concept.

Je hebt recht op inzage, correctie en verwijdering van je persoonsgegevens, en op beperking van of bezwaar tegen de verwerking. Voor dit platform loopt dat via de functionaris gegevensbescherming van de HAN.

Nog vast te stellen door de HAN: de contactgegevens van de functionaris gegevensbescherming, de grondslag voor deze verwerking, en of er een DPIA nodig is. Gezien de aard van de dossiers ligt dat laatste voor de hand.

Zie de toegankelijkheidsverklaring.