Alles draait op Europese infrastructuur. Geen doorgifte buiten de EU.
Vertrouwen
Vertrouwen is geen belofte, het is het ontwerp.
De app is van je medewerkers, niet van het bedrijf. Jij ziet nooit hun cijfers, check-ins of ziekmeldingen, en ShiftRecovery zelf ook niet. Jij krijgt alleen het geaggregeerde teamsignaal.
Want mensen delen pas eerlijke signalen als ze zich veilig voelen. Daarom begint alles hier.
Wie ziet wat
Tot op de feature: wie ziet wat, en wat blijft van de gebruiker.
| App-feature | Gebruiker | Management | Board | Arbo-arts |
|---|---|---|---|---|
Herstelstatus & slaapschuld dagelijkse score 0-100 | ||||
Check-in: slaap, energie, stress dagelijkse invoer | ||||
Ziek loggen & notities klacht, duur, gevoel, vrije notitie | ||||
Inzichten & energietrend patroon over tijd | ||||
Slaaptools & herstelplan oefeningen, nachtscherm, plan na arts | ||||
Eigen rooster & werkuren diensten in de app | ||||
Geaggregeerd team-energiesignaal afgeleid, boven teamdrempel, vertraagd, opt-in | ||||
Roosterbelasting (operationeel) bezetting op ploegniveau | ||||
Verlofaanvraag de aanvraag, niet de privé-notitie | ||||
Profiel, account, billing, locatie naam, gegevens, MFA, abonnement |
Volledige toegangGeaggregeerd, niet te herleiden naar een individuAlleen als de gebruiker het zelf deeltGeen toegang, ooit
De arbo-arts ziet alleen iets als de gebruiker zélf hulp zoekt, nooit andersom.
Vier rollen, drie grenzen.
De medewerker
Houdt zijn eigen gezondheidsdata. Die blijft van hem, de werkgever krijgt er nooit toegang toe, ook niet versleuteld of vertraagd.
De werkgever
Ziet alleen een geanonimiseerde trend op teamniveau. Geen persoonlijke antwoorden, geen individuele scores.
De bedrijfsarts
Krijgt een persoonlijk signaal alleen als de medewerker daar zelf om vraagt. Nooit automatisch, nooit via de werkgever.
Gezondheidsdata zit in een gescheiden omgeving waar de werkgever en ShiftRecovery zelf niet bij kunnen, ongeacht wat er gevraagd wordt.
Twee gescheiden lagen
Werkdruk gaat over het werk. Gezondheid gaat over de mens.
We verzamelen twee soorten data met een verschillende status. Het ene mag sneller zichtbaar zijn, het andere blijft geaggregeerd en vertraagd.
Mag sneller
Operationele data
- Ervaren werkdruk op de dienst
- Bezetting en roostergaten
- Pieken en onderbezetting
Gaat over het werk, niet over een persoon. Geen bijzonder persoonsgegeven.
Blijft traag
Gezondheidsdata
- Slaap en herstel
- Energie
- Stress als persoonlijke beleving
Gaat over de persoon. Altijd geaggregeerd, vertraagd en nooit individueel.
Onder de AVG zijn gezondheidsgegevens bijzondere persoonsgegevens met een verwerkingsverbod. De werkgever mag ze niet eens verwerken, ook niet met toestemming. Dus zorgen wij dat het nooit hoeft: hij ziet enkel een geanonimiseerde groepstrend, en dat is juridisch geen persoonsgegeven.
Bij uitval
Valt iemand weg, dan bevriest het teambeeld.
Het risico bij een ziekmelding is niet de ziekte, die meldt iemand gewoon. Het risico is dat het beeld op dat moment beweegt en de manager die beweging aan een persoon koppelt.
Daarom op dat moment:
- De teller blijft staan en daalt niet live mee.
- Het beeld beweegt verder, maar losgekoppeld van die ene persoon.
- De aard of oorzaak van ziekte komt nooit in het systeem.
- Het individuele signaal gaat nooit naar de manager.
Eerlijk
We beloven geen honderd procent. We maken herleiden praktisch onhaalbaar.
Geen enkel systeem is volledig onmogelijk te herleiden, en dat beloven zou een loze claim zijn. Wat we wél doen: we verbergen niet alleen wie iets invult, maar ook de details eromheen die naar een persoon zouden wijzen. De ankerpunten om iets aan iemand te koppelen ontbreken simpelweg. Dat is sterker dan een absolute belofte die niet houdbaar is.
Elke overgang van verborgen naar zichtbaar wordt getoetst en gelogd, zodat achteraf te reconstrueren is dat geen herleidbaar signaal is getoond.
Omdat wij zelf aansprakelijk zijn onder de AVG, is dit onze eerste belofte, niet onze kleine lettertjes.