Visma Resolve wordt standaard subverwerker

Om optimaal gebruik te maken van de functionaliteiten van Visma Resolve, is toegang tot bepaalde gegevens nodig, waaronder salarisinformatie. In de toekomst zal Visma Resolve ook toegang krijgen tot andere HR-gegevens. Hierbij wordt gewerkt met gepseudonimiseerde gegevens, zodat specifieke medewerkers niet direct geïdentificeerd kunnen worden. Zo wordt de privacy van de medewerkers gewaarborgd.

De gegevens worden veilig gedeeld via een versleutelde API vanuit Peple naar Visma Resolve. Peple behoud de controle over wanneer en welke gegevens er worden verstuurd, Visma Resolve kan dit niet opvragen. Ook heeft Visma Resolve geen toegang tot klantomgevingen. Voor meer details over welke specifieke gegevens verwerkt worden, zie onderin de DPA tussen Peple en Visma Resolve.

We zijn in oktober 2024 begonnen met een pilot van Visma Resolve bij een aantal van onze klanten die zich vrijwillig hebben aangemeld. De eerste resultaten hiervan zijn inmiddels zichtbaar, en we zijn bezig met het finaliseren van de laatste stappen voordat het product als dienst wordt aangeboden. De verwachting is dat de eerste AI functionaliteit in Q2 2025 beschikbaar zal zijn voor een breder gebruik.

Visma Resolve volgt dezelfde beveiligingsprincipes als Peple, door gebruik te maken van het Visma Cloud Delivery Model. Om te waarborgen dat aan de noodzakelijke beveiligingseisen wordt voldaan, wordt aan de volgende standaarden en processen gewerkt:

• Static Application Security Testing met behulp van Polaris
• Software Composition Analysis via Snyk
• Beheer van Privileged Users met MimPortal en federated login
• Jaarlijkse uitvoering van een Security Self Assessment
• Jaarlijkse uitvoering van een Compliance Self Assessment
• Beheer van Security Logs bij onboarding
• Integratie van Cyber Threat Intelligence bij onboarding
• Jaarlijkse Penetration Testing

Visma Resolve beschikt over een ISO 27001-certificaat, inclusief Verklaring van Toepasselijkheid. Volgens ons interne beleid voeren wij jaarlijks een evaluatie uit van onze leveranciers. We beoordelen hierbij de dienstverlening, gemaakte afspraken, eventuele incidenten en de geldigheid van de certificaten.

Peple blijft verantwoordelijk voor de verwerking van de data, terwijl Resolve wordt aangemerkt als subverwerker. We hebben met Resolve een 'Service and Distribution Agreement' afgesloten, waarin de verdeling van verantwoordelijkheden en de procedures bij security- of privacy-incidenten zijn vastgelegd.

Voor de data in transit wordt TLS-encryptie toegepast via de HTTPS-gebaseerde REST API. Voor data in rust wordt AES-256 encryptie gebruikt.

Ja, vanuit Peple is er een DPIA uitgevoerd waarin alle risico’s in kaart zijn gebracht en mitigerende maatregelen zijn toegepast.

Dit rapport kun je hier downloaden. 

Betrokkenen, Soorten persoonsgegevens, Doel, Aard, Duur

A.1 Categorieën van betrokkenen

• Werknemers van jouw organisatie
• Contactpersonen binnen jouw organisatie
  
  

A.2 Categorieën van persoonsgegevens

• Gepseudonimiseerde werknemers-ID's
• Optionele gepseudonimiseerde werknemersgroeperingen, zoals contracten, afdelingen of functietypes
• Loonstroken van de gepseudonimiseerde werknemers-ID's:
  • Looncodes voor de loonstrooktransacties
  • Soorten loonstrooktransacties, bijvoorbeeld salaris, uren, belastingaftrekken
  • Bedrag, tarief en hoeveelheid voor de loonstrooktransacties
• Optionele gepseudonimiseerde contract-ID's voor de transacties
  
  

A.3 Bijzondere categorieën van persoonsgegevens (gevoelige persoonsgegevens)
Om de subverwerker in staat te stellen dergelijke gegevens namens de verwerker te verwerken, dient de verwerker de betreffende soorten gevoelige persoonsgegevens hieronder te specificeren. De verwerker is tevens verantwoordelijk voor het informeren van de subverwerker over, en het specificeren van, eventuele aanvullende soorten gevoelige persoonsgegevens in overeenstemming met de toepasselijke privacywetgeving.

De Subverwerker zal namens de Verwerker informatie verwerken met betrekking tot:	Ja	Nee
ras of etnische afkomst, of politieke, filosofische of religieuze overtuigingen,		x
gezondheidsinformatie,		x
seksuele geaardheid,		x
lidmaatschap van een vakbond		x
genetische of biometrische gegevens		x

 

A.4 Doel van de verwerking
Het doel van de verwerking van persoonsgegevens door de subverwerker namens de gegevensverwerker is de levering van diensten in overeenstemming met de Serviceovereenkomst.

A.5 Aard van de verwerking
De verwerking van persoonsgegevens door de subverwerker namens de verwerker betreft voornamelijk de volgende activiteiten:

• Opslag
• Hosting
• Berekening
• Modellering
• Gegevens voor- en nabewerking
  
  

A.6 Duur van de verwerking
De duur van de verwerking van persoonsgegevens is gelijk aan de looptijd van de Serviceovereenkomst.

De meest recente versie van de Verwerkersovereenkomst vind je hier. 

We integreren AI stap voor stap in onze software om processen slimmer en efficiënter te maken.

De eerste functionaliteit die we uitrollen, is Ontdek & Check. Hiermee word je vroegtijdig in het salarisproces geattendeerd op mogelijke afwijkingen. Je kunt een afwijking beoordelen, goedkeuren en voorzien van een toelichting. Deze informatie is vervolgens inzichtelijk voor je collega’s, waardoor je samen efficiënter kunt werken en fouten sneller kunt signaleren en oplossen.

AI zal steeds breder worden ingezet binnen onze applicatie om processen verder te optimaliseren en administratieve taken te vereenvoudigen.

Ontdek & Check is slechts een eerste stap. In de maand maart ontvang je meer informatie over Ontdek & Check.

Ja, maar we leggen graag uit wat dit inhoud, en waarom dit op een veilige en verantwoorde manier gebeurt. 
Het AI model wordt per klant, en zelfs per bedrijf in Visma.net Payroll getraind. Dit betekent dat er een apart AI model wordt getraind op de data van jouw organisatie, die niet wordt gedeeld of samengevoegd met het model van andere bedrijven. Trainen in dit geval is dus enkel met het doeleinde om voorspellingen te doen voor jouw organisatie, en het model van jouw organisatie te verbeteren, maar heeft geen invloed op de technologie hierachter, of de AI modellen van andere bedrijven. Ook belangrijk hierbij, is dat het geen generatieve AI betreft. Het AI model is onderdeel van de AI familie ‘Machine Learning’. 

Stuur je vraag per e-mail naar privacy@peple.nl.