Privacyverklaring

Laatst bijgewerkt: 21 oktober 2026

extraa, een dienst van Shift Apps BV, Toekomstlaan 11, 3600 Genk, ondernemingsnummer BE1041046263, e-mail info@extraa.be.

1. Inleiding

extraa is een online platform en app waarmee Belgische werkgevers hun flexi-jobbers en studenten plannen, aanmelden via Dimona en administratief opvolgen. Wij behandelen de persoonsgegevens die daarbij door onze handen gaan zorgvuldig en in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG/GDPR) en de Belgische wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens.

In deze privacyverklaring leggen we uit welke gegevens wij verwerken, waarom, hoe lang, met wie we ze delen en welke rechten u heeft. Ze geldt voor onze website, het extraa-platform en de extraa-app.

2. Wie is verantwoordelijk voor uw gegevens?

Shift Apps BV treedt, afhankelijk van de gegevens, op in twee rollen.

extraa als verwerkingsverantwoordelijke. Voor de gegevens van onze klanten en hun gebruikers (accounts, facturatie, communicatie), van bezoekers van onze website en van prospecten bepalen wij zelf waarom en hoe we ze verwerken. Voor die gegevens is Shift Apps BV de verwerkingsverantwoordelijke.

extraa als verwerker. De gegevens van de flexi-jobbers, studenten en andere werknemers die een werkgever in extraa invoert, verwerken wij uitsluitend in opdracht en volgens de instructies van die werkgever. De werkgever is hiervoor de verwerkingsverantwoordelijke; extraa is verwerker in de zin van artikel 28 AVG. De afspraken hierover staan in de verwerkersovereenkomst (Bijlage 2 bij onze SaaS-overeenkomst).

Bent u als flexi-jobber of student via een werkgever in extraa terechtgekomen? Richt uw vragen over uw tewerkstelling en de verwerking van uw gegevens dan in de eerste plaats tot die werkgever. Wij helpen de werkgever om uw verzoek te beantwoorden en sturen verzoeken die bij ons binnenkomen onmiddellijk aan hem door.

Voor vragen over deze privacyverklaring kunt u ons bereiken via info@extraa.be.

3. Welke persoonsgegevens verwerken wij?

Gegevens van flexi-jobbers, studenten en andere werknemers (als verwerker, in opdracht van de werkgever):

• Naam, voornaam, geboortedatum en geslacht
• Rijksregisternummer of INSZ-nummer, nodig voor de Dimona-aangifte
• Adres, e-mailadres en telefoonnummer
• Gegevens over de tewerkstelling: werkgever, paritair comité, functie, planning, begin- en einduren, gepresteerde uren en flexiloon, en de contracten en raamovereenkomsten die via extraa worden opgemaakt, met de elektronische handtekening
• Gegevens die de toegang tot een flexi-job bepalen, zoals het bestaan van een voltijdse of 4/5de tewerkstelling bij een andere werkgever of het statuut van gepensioneerde
• Voor studenten: het beschikbare en gebruikte urencontingent
• Dimona-gegevens: aangiftenummers, status en antwoorden van de RSZ
• Bankrekeningnummer, als de werkgever dit voor de loonbetaling in extraa bijhoudt
• Berichten en meldingen die via de app worden uitgewisseld

Gegevens van klanten en gebruikers (als verwerkingsverantwoordelijke):

• Bedrijfsnaam, ondernemingsnummer, RSZ-werkgeversnummer, adres en vestigingen
• Naam, functie, e-mailadres en telefoonnummer van contactpersonen en gebruikers
• Inloggegevens (wachtwoorden bewaren wij uitsluitend versleuteld) en gegevens over het gebruik van het platform, zoals inlogmomenten en acties in het account
• Abonnements-, facturatie- en betalingsgegevens
• Correspondentie met onze klantendienst

Gegevens van websitebezoekers en prospecten (als verwerkingsverantwoordelijke):

• Technische gegevens zoals IP-adres, browser- en apparaattype en bezochte pagina's
• Gegevens uit cookies en vergelijkbare technieken, zie punt 10
• Gegevens die u zelf invult bij een demo-aanvraag, een contactformulier of een inschrijving op onze nieuwsbrief, zoals uw naam, bedrijfsnaam, e-mailadres, telefoonnummer, sector, het aantal flexi's of studenten dat u per maand inschat en een eventuele opmerking

Wij verwerken geen bijzondere categorieën van persoonsgegevens (zoals gezondheidsgegevens), tenzij een werkgever die op eigen verantwoordelijkheid in een vrij tekstveld invoert. Wij vragen werkgevers dat niet te doen.

4. Waarvoor gebruiken wij uw gegevens?

• Dimona-aangiftes: het indienen, wijzigen en annuleren van Dimona-aangiftes (onder meer type FLX en STU) bij de RSZ in naam van de werkgever, op basis van het Mahis-mandaat dat de werkgever ons verleent, en het opvolgen van de antwoorden.
• Planning en prestatieregistratie: het inplannen van shifts, het registreren van gewerkte uren en het berekenen van het flexiloon of studentenloon.
• Signalen bij de voorwaarden: het tonen van waarschuwingen wanneer ingevoerde gegevens niet lijken te passen binnen de wettelijke voorwaarden voor flexi-jobs of studentenarbeid. De werkgever blijft zelf verantwoordelijk voor de controle van die voorwaarden.
• Uitwisseling met het sociaal secretariaat of de boekhouder: het ter beschikking stellen van prestatie- en loongegevens aan de partij die de werkgever daarvoor aanduidt.
• Levering en beheer van onze dienst: het aanmaken en beveiligen van accounts, het factureren van abonnementen en het beantwoorden van supportvragen.
• Verbetering en beveiliging van het platform: het opsporen van fouten, misbruik en beveiligingsincidenten, en het analyseren van het gebruik om extraa te verbeteren.
• Communicatie en marketing: het versturen van service-informatie, nieuwsbrieven en commerciële berichten, en het meten van onze advertenties.

5. Op welke rechtsgrond steunen wij?

Voor de gegevens die wij als verwerker behandelen, bepaalt de werkgever de rechtsgrond. Meestal is dat de uitvoering van de arbeidsovereenkomst en het naleven van wettelijke verplichtingen, zoals de verplichte Dimona-aangifte.

Voor de gegevens waarvoor wij zelf verantwoordelijk zijn, steunen wij op:

• Uitvoering van een overeenkomst: om uw account en abonnement te beheren en onze dienst te leveren.
• Wettelijke verplichting: onder meer voor onze boekhoudkundige en fiscale verplichtingen.
• Gerechtvaardigd belang: voor de beveiliging en verbetering van het platform, het voorkomen van misbruik en commerciële communicatie naar bestaande klanten over vergelijkbare diensten. Wij wegen dat belang telkens af tegen uw privacy.
• Toestemming: voor niet-noodzakelijke cookies, advertentiemetingen en nieuwsbrieven aan niet-klanten. U kunt uw toestemming op elk moment intrekken.

6. Hoe lang bewaren wij uw gegevens?

Wij bewaren gegevens niet langer dan nodig voor het doel waarvoor ze verzameld zijn, of zolang de wet ons dat oplegt.

• Werknemersgegevens in een klantaccount: zolang het account van de werkgever actief is. Na afloop van de overeenkomst kan de werkgever de gegevens nog 30 dagen exporteren; daarna verwijderen wij ze, tenzij de werkgever ons schriftelijk opdraagt ze langer te bewaren.
• Account- en gebruikersgegevens: zolang de overeenkomst loopt, plus 1 jaar.
• Facturen en boekhoudkundige stukken: 10 jaar, zoals de boekhoudwetgeving vereist.
• Technische logbestanden: maximaal 12 maanden.
• Demo-aanvragen en prospectgegevens: maximaal 24 maanden na het laatste contact, of tot u zich uitschrijft.
• Nieuwsbriefgegevens: tot u zich uitschrijft.

De werkgever blijft zelf verantwoordelijk voor het bewaren van zijn sociale documenten gedurende de wettelijke termijn. Na afloop van de bewaartermijn verwijderen of anonimiseren wij de gegevens op een veilige manier.

7. Met wie delen wij uw gegevens?

Wij verkopen uw gegevens nooit. Wij delen ze enkel wanneer dat nodig is voor onze dienst of wanneer de wet het vereist:

• Rijksdienst voor Sociale Zekerheid (RSZ): voor het indienen en opvolgen van Dimona-aangiftes via de beveiligde RSZ-webservices.
• Sociaal secretariaat of boekhouder van de werkgever: wanneer de werkgever ons opdraagt prestatie- of loongegevens aan hen door te geven.
• Subverwerkers: dienstverleners die ons helpen extraa te laten werken, onder meer Amazon Web Services (hosting en opslag van het platform), Cloudflare (hosting van onze website), CraftsPeople BV, aandeelhouder van Shift Apps BV, in haar Google Workspace-omgeving (opvolging van demo-aanvragen), Mollie (betalingsverwerking) en dienstverleners voor e-mail- en pushberichten, elektronische ondertekening, authenticatie, monitoring en foutopsporing, en klantendienst. Met elk van hen sluiten wij een overeenkomst die hen aan passende verplichtingen inzake gegevensbescherming bindt. Een actuele lijst kan u kosteloos opvragen via info@extraa.be. Klanten verwittigen wij vooraf bij een wijziging.
• Advertentie- en analyseplatformen: Meta (Facebook en Instagram) en Google Analytics, enkel voor websitebezoekers die hiervoor toestemming gaven. Werknemersgegevens uit het platform worden nooit voor marketing gebruikt.
• Adviseurs en overheden: onze boekhouder, juridische adviseurs of een overheidsinstantie, wanneer dat wettelijk verplicht is of nodig om onze rechten te verdedigen.

Heeft u marketingcookies aanvaard, dan geven wij bij een demo-aanvraag een versleutelde (gehashte) vorm van uw e-mailadres en telefoonnummer door aan Meta (via de Meta-pixel en de Conversions API), zodat wij kunnen meten welke advertentie tot uw aanvraag leidde. Meta ontvangt die gegevens niet in leesbare vorm en wij gebruiken ze niet voor iets anders. Zonder toestemming voor marketingcookies gebeurt dat niet.

8. Doorgifte buiten de Europese Economische Ruimte

Het extraa-platform draait op Amazon Web Services (AWS). Wij bewaren de gegevens in het platform op servers binnen de Europese Economische Ruimte (EER), namelijk in de AWS-regio Frankfurt (Duitsland).

AWS, Cloudflare, Google en Meta zijn Amerikaanse ondernemingen. Daardoor kunnen gegevens in bepaalde gevallen buiten de EER terechtkomen, bijvoorbeeld bij gegevens van websitebezoekers in Google Analytics en Meta. Wij laten dat alleen toe als er passende waarborgen zijn: een adequaatheidsbesluit van de Europese Commissie (zoals het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de Europese Commissie.

9. Hoe beveiligen wij uw gegevens?

Wij nemen passende technische en organisatorische maatregelen tegen verlies, misbruik, onbevoegde toegang, wijziging of vernietiging van gegevens. Onder meer:

• versleutelde verbindingen (TLS) tussen app, website en servers, en versleutelde opslag van gevoelige gegevens;
• beveiligde en geauthenticeerde koppelingen met de RSZ;
• rolgebaseerde toegang, zodat elke gebruiker enkel de gegevens van zijn eigen onderneming en vestiging ziet;
• toegang tot productiegegevens voor ons team enkel wanneer nodig en met logging;
• regelmatige back-ups en updates van onze systemen.

Bij een datalek dat risico's inhoudt, melden wij dat binnen 72 uur aan de Gegevensbeschermingsautoriteit en verwittigen wij de betrokkenen wanneer de wet dat vereist. Betreft het lek gegevens die wij als verwerker behandelen, dan informeren wij de werkgever zonder onredelijke vertraging, zodat hij zijn eigen verplichtingen kan nakomen.

10. Cookies, website en app

Op onze website werken wij met drie soorten cookies:

• Noodzakelijk: nodig om de site te laten werken. Deze staan altijd aan.
• Analytisch: Google Analytics 4 via Google Tag Manager, om te meten hoe bezoekers de site gebruiken.
• Marketing: onder meer de Meta-pixel, om de werking van onze advertenties te meten.

Analytische en marketingcookies, en de campagneparameters die tonen via welke bron u bij ons kwam (zoals UTM, gclid en fbclid), gebruiken wij pas nadat u daarvoor toestemming gaf via onze cookiebanner. Wij gebruiken Google Consent Mode: standaard staat alles uit. U kunt uw keuze op elk moment wijzigen of intrekken via de link Cookievoorkeuren onderaan elke pagina. Elke cookie heeft een eigen looptijd.

De extraa-app gebruikt pushmeldingen om u op de hoogte te houden van shifts en aanmeldingen. U kunt die uitschakelen in de instellingen van uw toestel. De app bevat geen advertentietrackers.

11. Uw rechten

U heeft het recht om:

• uw gegevens in te kijken en er een kopie van te krijgen;
• onjuiste of onvolledige gegevens te laten verbeteren;
• uw gegevens te laten wissen, tenzij wij of de werkgever ze wettelijk moeten bewaren;
• de verwerking te laten beperken;
• uw gegevens in een gangbaar formaat te ontvangen of aan een andere partij te laten bezorgen;
• bezwaar te maken tegen verwerking op basis van gerechtvaardigd belang, en altijd tegen direct marketing;
• uw toestemming in te trekken, zonder dat dit de eerdere verwerking onrechtmatig maakt.

U oefent deze rechten uit via info@extraa.be. Wij kunnen u vragen uw identiteit aan te tonen en antwoorden binnen een maand. Gaat het om gegevens die wij voor uw werkgever verwerken, dan bezorgen wij uw verzoek aan hem en helpen wij hem het te beantwoorden.

Bent u niet tevreden over hoe wij met uw gegevens omgaan, dan kunt u een klacht indienen bij de Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel, contact@apd-gba.be, www.gegevensbeschermingsautoriteit.be.

12. Wijzigingen en contact

Wij kunnen deze privacyverklaring aanpassen, bijvoorbeeld wanneer wij nieuwe functies toevoegen of de wetgeving wijzigt. Belangrijke wijzigingen melden wij vooraf via e-mail of in het platform. De meest recente versie staat altijd op deze pagina, met bovenaan de datum van laatste wijziging.

Vragen over deze privacyverklaring of over uw gegevens kunt u richten aan Shift Apps BV (extraa), Toekomstlaan 11, 3600 Genk, ondernemingsnummer BE1041046263, info@extraa.be.