Privacyverklaring.

Voor een goed begrip van deze verklaring is één onderscheid bepalend. KDV Online verwerkt persoonsgegevens in twee verschillende hoedanigheden, en welke rechten u waar kunt uitoefenen hangt daarvan af.

Onze gegevens

KDV Online · Verbindingslaan 35, 1401 VC Bussum · KvK 56955839
Schriftelijk contact loopt via het contactformulier.

2.1 Geen geautomatiseerde besluitvorming

Wij nemen geen besluiten met rechtsgevolgen op basis van uitsluitend geautomatiseerde verwerking, en passen geen profilering toe.

2.2 De gratis rendementscheck

Op onze site staat een gratis check waarmee een kinderopvangorganisatie kan zien hoe haar rendement en kostenopbouw zich verhouden tot de markt. Wie hem invult, vult daarvoor bedrijfscijfers in: omzet, personeelskosten, huisvesting, afschrijvingen, overige kosten, en eventueel aflossing en rente.

Vult u de check in zonder u te registreren, dan weten wij niet wie u bent. Registreert u zich wel — bijvoorbeeld om uw uitkomst te bewaren of te vergelijken — dan koppelen wij de inzending aan uw account en het KvK-nummer dat u opgeeft.

Waarvoor. Om u uw uitkomst te tonen, en voor marktonderzoek: de percentages van veel organisaties samen laten zien hoe de sector ervoor staat. Wat wij daaruit publiceren of leveren is altijd geaggregeerd en nooit tot één organisatie herleidbaar; daarvoor gelden dezelfde grenzen als bij de benchmark (zie 4.2).

Hoe lang. Zolang de dienst bestaat. De waarde van deze gegevens zit in de reeks over meerdere jaren; een losse meting zegt weinig over een markt. Wilt u dat uw inzending wordt verwijderd, neem dan contact met ons op via het contactformulier.

3.1 Soorten e-mail

• Noodzakelijke berichten — facturen, incasso-aankondigingen, meldingen over storingen en onderhoud, wijzigingen in voorwaarden. Deze horen bij het abonnement en kunt u niet uitzetten zolang u klant bent.
• Ondersteuning — antwoorden op uw vragen.
• Nieuwsbrief en productnieuws — informatie over onze diensten en ontwikkelingen in de kinderopvangsector.

3.2 Wanneer wij u commerciële e-mail sturen

Aan nieuwe relaties sturen wij commerciële e-mail nadat u zich daarvoor heeft aangemeld.

Aan kinderopvangorganisaties die nog geen klant zijn sturen wij soms informatie over de aanstaande wetgeving rond de financiering van de kinderopvang. Wij gebruiken daarvoor uitsluitend algemene zakelijke adressen die de organisatie zelf openbaar heeft gemaakt, bijvoorbeeld op haar eigen website of in het Landelijk Register Kinderopvang. Wij baseren ons daarbij op ons gerechtvaardigd belang om organisaties in deze sector te informeren over ontwikkelingen die hen rechtstreeks raken.

In iedere e-mail staat een afmeldmogelijkheid, en één klik is genoeg: daarna ontvangt u niets meer van ons. Wilt u helemaal niet benaderd worden, laat het ons dan weten via het contactformulier — dan halen wij uw adres uit onze verzendlijst.

Aan bestaande klanten kunnen wij informatie sturen over onze eigen, gelijksoortige diensten op grond van de bestaande klantrelatie, zoals de Telecommunicatiewet toestaat. Bij iedere e-mail kunt u zich hiervoor afmelden.

3.3 Verzending

Onze e-mail wordt verzonden via MX-Relay B.V. in Nederland. Adressen worden niet gedeeld met andere partijen en niet gebruikt voor advertenties van derden.

4.1 Wie bepaalt wat

Kinderopvangorganisaties gebruiken Grip en de Rekentool voor hun eigen bedrijfsvoering. De gegevens die zij daarin vastleggen — over hun vestigingen, tarieven en kosten, over de contactpersonen die met Grip werken, en de berekeningen die bezoekers op hun rekentool maken — blijven van hen.

Die organisatie is verwerkingsverantwoordelijke. Zij bepaalt welke gegevens worden vastgelegd, waarom, hoe lang, en op welke grondslag. KDV Online verwerkt deze gegevens in opdracht en volgens instructie.

Op één punt is dat anders, en daarvoor zijn wij zelf verantwoordelijk: zie 4.2 hieronder.

De afspraken hierover staan in de Verwerkersovereenkomst die wij met iedere klant sluiten.

4.2 Wat wij zelf met de gegevens doen

Op één punt verwerken wij niet in opdracht maar voor onszelf, en daarbij maken wij een scherp onderscheid tussen twee soorten gegevens.

Openbare gegevens — tarieven, pakketten, openingstijden en vergelijkbare gegevens die een organisatie zelf naar buiten brengt. Die gebruiken wij onder meer voor marktonderzoek, ook wanneer ze in de rekentool of tarieventool van een klant zijn ingevoerd. Het gaat om gegevens die de organisatie toch al publiceert — op haar eigen website en in het Landelijk Register Kinderopvang — en om bedrijfsgegevens, niet om gegevens over personen.

Bedrijfsspecifieke cijfers — omzet, kosten, balans, winst-en-verliesrekening. Die worden nooit openbaar gemaakt. Ze staan versleuteld in de Kluis en worden gebruikt voor de analyses die de organisatie zelf te zien krijgt en — als zij daarvoor kiest — voor benchmarkrapporten, waarin de cijfers niet tot een individueel bedrijf herleidbaar zijn.

Uit die bedragen berekent Grip een aantal verhoudingsgetallen — bijvoorbeeld de personeelskosten als percentage van de omzet, en het rendementspercentage. Die bewaren wij niet. Ze worden uitgerekend op het moment dat u uw kluis opent, staan op uw scherm zolang die open is, en zijn daarna weg. Er staat dus geen verhoudingsgetal in onze database, en er hangt niets aan uw KvK-nummer.

Kiest u er later voor aan de benchmark mee te doen, dan gaat er wél een bijdrage naar een aparte verzameling. Die bevat geen bedragen en geen KvK-nummer, maar uitsluitend de verhoudingsgetallen en een beperkt aantal vergelijkingskenmerken in klassen — boekjaar, grootteklasse, soort opvang en provincie. Een uitkomst telt alleen mee bij een groep van ten minste vijf organisaties. Zie ook artikel 10.3 en 10.5 van de Verwerkersovereenkomst.

Voor de benchmark gelden drie grenzen, die ook in artikel 7 van de algemene voorwaarden staan:

• Meedoen is een uitdrukkelijke, vrijwillige keuze van de klant. Maakt hij die keuze niet, dan telt er niets van zijn cijfers mee.
• Een uitkomst verschijnt alleen als de vergelijkingsgroep uit ten minste vijf onafhankelijke organisaties bestaat — ook bij levering aan derden.
• Wat wij publiceren of leveren is altijd geaggregeerd en nooit tot één organisatie herleidbaar. Wie deelneemt maken wij niet bekend.

De uitkomsten van dat marktonderzoek — medianen, spreidingen, indices en tijdreeksen — gebruiken wij in onze eigen producten, en wij kunnen ze tegen betaling leveren aan bijvoorbeeld onderzoeksinstellingen, financiers, gemeenten, brancheorganisaties en overheden.

Voor het samenstellen van deze geaggregeerde marktinformatie bepaalt KDV Online zelfstandig het doel en de middelen van de verwerking. De uiteindelijke marktinformatie bevat geen persoonsgegevens en is niet herleidbaar tot een individuele organisatie.

Daarnaast kijken wij naar gebruiksgegevens — welke functies worden gebruikt en hoe vaak — om de dienst te verbeteren. Ook die zijn geaggregeerd en niet tot een klant of persoon herleidbaar.

4.3 Geen gegevens over kinderen of gezondheid

Grip en de Rekentool zijn er niet op ingericht om gegevens over kinderen, over gezondheid of over personeelsdossiers vast te leggen: die velden bestaan niet. Wij verwerken namens onze klanten dus geen bijzondere persoonsgegevens in de zin van artikel 9 AVG.

Wat wij namens een klant wél verwerken, is zakelijk: de naam, functie, het zakelijke e-mailadres en telefoonnummer van de mensen die met Grip werken, hun inloggegevens, en de bedrijfscijfers die de organisatie invoert.

4.4 De rekentool voor ouders

Maakt een bezoeker een berekening op de rekentool van een kinderopvangorganisatie, dan leggen wij namens die organisatie vast: het opgegeven toetsingsinkomen, de gekozen opvangsoort en het gekozen pakket, en een versleutelde aanduiding van de bezoeker. Die aanduiding is een onomkeerbare versleuteling van het IP-adres en de browsergegevens; het IP-adres zelf wordt niet bewaard.

Er wordt geen naam, e-mailadres of adres van de bezoeker gevraagd of opgeslagen. De aanduiding is niet bedoeld om de identiteit van een bezoeker vast te stellen, en wij beschikken niet over gegevens waarmee wij haar rechtstreeks aan een persoon kunnen koppelen.

Hoe lang wij dit bewaren. Deze berekeningen bewaren wij zolang de dienst bestaat. Ze vormen een reeks over meerdere jaren, en juist die reeks maakt het mogelijk ontwikkelingen in de markt te volgen. De bezoekersaanduiding blijft daarbij staan, zodat herhaalbezoek zichtbaar blijft; die aanduiding is een onomkeerbare versleuteling waaruit het IP-adres niet is terug te rekenen.

Wilt u dat een berekening die aan uw bezoek is gekoppeld wordt verwijderd, neem dan contact op met de betreffende kinderopvangorganisatie. Zij is verwerkingsverantwoordelijke; KDV Online voert een verwijderingsverzoek op haar instructie uit. Zie ook 4.5.

4.5 Waar u met vragen terecht kunt

Werkt u bij een kinderopvangorganisatie die Grip gebruikt, en wilt u weten welke gegevens daarin over u zijn vastgelegd — of wilt u die laten corrigeren of verwijderen? Richt uw verzoek dan aan uw eigen organisatie. Zij is verwerkingsverantwoordelijke en beschikt over de gegevens.

Hetzelfde geldt voor een berekening die u op de rekentool van een kinderopvangorganisatie heeft gemaakt: die organisatie bepaalt wat daarmee gebeurt.

Benadert u ons rechtstreeks, dan verwijzen wij u door naar de betreffende organisatie en laten wij haar weten dat u contact heeft gezocht. Wij beantwoorden zo'n verzoek niet zelfstandig — dat mogen wij als verwerker niet.

4.6 De Kluis

De Kluis is een optionele voorziening waarin een klant eigen bedrijfseconomische cijfers vastlegt. Deze zijn versleuteld opgeslagen op een wijze waarbij alleen de klant zelf over de ontsleutelsleutel beschikt. KDV Online kan de bedragen niet inzien, tenzij de klant daarvoor uitdrukkelijk toegang verleent. De ontsleutelsleutel bestaat uitsluitend tijdens een door de klant geopende sessie en alleen in het werkgeheugen van de server; in de opslag en in de back-ups komt hij niet voor. De daaruit berekende verhoudingsgetallen worden niet bewaard; zie 4.2. De volledige werking staat beschreven in artikel 10 van de Verwerkersovereenkomst.

Klanten kunnen er afzonderlijk voor kiezen hun cijfers te laten meetellen in een marktbenchmark. Bij opname in de benchmark wordt geen KvK-nummer meegeleverd aan de benchmarkverzameling of aan de uitkomst daarvan; de bijdrage bestaat uit de verhoudingsgetallen en een aantal klassen om op te groeperen. Uitkomsten worden uitsluitend getoond bij een groep van ten minste vijf onafhankelijke deelnemers. Uit die verzameling stelt KDV Online geaggregeerde marktcijfers samen, die ook aan derden kunnen worden geleverd — altijd geaggregeerd en nooit herleidbaar tot een individuele organisatie.

5.1 Verwerkers

Met elke partij is een verwerkersovereenkomst gesloten. Zij mogen de gegevens uitsluitend gebruiken voor de aan hen opgedragen taak.

5.2 Waar de gegevens staan

De genoemde partijen verwerken de gegevens in Nederland. Onze server staat in datacentrum BIT-2 in Ede en de back-ups gaan naar een ander datacentrum binnen Nederland.

Dat datacentrum is ISO/NEN 27001 gecertificeerd, de norm voor informatiebeveiliging. Het beheer van onze server — beveiligingsupdates, dagelijkse back-ups en bewaking — voert onze hostingleverancier uit volgens processen die zijn ingericht conform ISO 9001 (kwaliteit), ISO 27001 en NEN 7510 (informatiebeveiliging in de zorg). Dat is zo vastgelegd in de overeenkomst met die leverancier.

5.3 Partners die een klant zelf aanwijst

Een kinderopvangorganisatie kan in Grip zelf een externe partner toelaten — bijvoorbeeld haar accountant, financier of adviseur. Dat is een keuze van de organisatie, niet van ons. Wij benaderen zulke partijen niet en delen niets met hen uit onszelf.

Zo'n partner krijgt leestoegang tot de onderdelen die de organisatie aanvinkt, en tot niet meer dan dat. De versleutelde bedragen in de Kluis vallen daarbuiten: die kan alleen de organisatie zelf openen. De toegang is op elk moment weer in te trekken, en elke verlening en intrekking wordt vastgelegd.

Zo'n partner is geen verwerker van ons. Een accountant heeft eigen wettelijke en beroepsplichten en bepaalt zelf wat hij met de gegevens doet; daarvoor is hij zelf verantwoordelijk. Wat hij na het inzien doet, valt onder zijn eigen regels — niet onder deze privacyverklaring.

5.4 Verstrekking aan overheidsinstanties

Wij verstrekken persoonsgegevens aan bevoegde overheidsinstanties, toezichthouders, opsporingsinstanties of gerechtelijke autoriteiten wanneer wij daartoe wettelijk verplicht zijn. Wij toetsen ieder verzoek op grondslag en omvang, en informeren de betrokken klant, tenzij dat wettelijk niet is toegestaan.

5.5 Wat wij niet doen

Wij verkopen geen persoonsgegevens en stellen ze uit onszelf niet ter beschikking aan derden voor hun eigen doeleinden. Wat een klant zelf deelt met een partner die hij aanwijst, valt daarbuiten — zie 5.3.

Wij treffen passende technische en organisatorische maatregelen, waaronder:

• versleutelde verbindingen (TLS) voor al het dataverkeer;
• versleutelde opslag van de gegevens in de Kluis, waarbij alleen de klant over de sleutel beschikt;
• toegang op basis van persoonlijke accounts en toegekende rechten, met tweefactorauthenticatie voor beheerdersaccounts en verplicht voor iedere gebruiker van de Kluis; iedere onomkeerbare handeling in de Kluis wordt afzonderlijk met een tweede factor bevestigd;
• dagelijkse back-ups met bewaking van herstelbaarheid;
• periodieke beveiligingsupdates, firewall, bescherming tegen geautomatiseerde inlogpogingen en malwaredetectie;
• logging van beheerhandelingen;
• geheimhoudingsplicht voor iedereen met toegang tot klantgegevens.

Beveiliging is nooit af. Wij evalueren de maatregelen periodiek en passen ze aan wanneer de techniek of het risicobeeld daartoe aanleiding geeft.

7.1 Gegevens waarvoor wij verantwoordelijk zijn

Betreft een datalek gegevens uit Deel A, dan beoordelen wij zelf of melding aan de Autoriteit Persoonsgegevens nodig is. Is dat zo, dan doen wij die melding binnen 72 uur. Bij een hoog risico informeren wij ook de betrokkenen.

7.2 Gegevens van onze klanten

Betreft een datalek gegevens uit Deel B, dan informeren wij de betrokken klant onverwijld en uiterlijk binnen 24 uur na ontdekking, met alle informatie die op dat moment beschikbaar is.

De klant beoordeelt vervolgens als verwerkingsverantwoordelijke of melding aan de Autoriteit Persoonsgegevens nodig is en of betrokkenen moeten worden geïnformeerd. Wij doen die meldingen niet namens hem, maar ondersteunen hem daarbij.

7.3 Melden

Vermoedt u een beveiligingsprobleem of datalek? Meld het via het contactformulier. Wij reageren binnen één werkdag.

8.1 Welke rechten u heeft

U kunt ons vragen om inzage in uw gegevens, om rectificatie van onjuiste gegevens, om verwijdering, om beperking van de verwerking en om overdracht van uw gegevens in een gangbaar bestandsformaat. U kunt bezwaar maken tegen verwerking op grond van een gerechtvaardigd belang, en gegeven toestemming intrekken — dat laatste werkt voor de toekomst.

8.2 Waar u moet zijn

8.3 Hoe wij uw verzoek behandelen

Meestal reageren wij binnen vijf werkdagen, vaak dezelfde dag. Vraagt uw verzoek uitzoekwerk, dan kan het langer duren; de wettelijke termijn is één maand, en bij een complex verzoek mogen wij die met twee maanden verlengen. Gebruiken wij die ruimte, dan laten wij u dat binnen de eerste maand weten — met de reden erbij.

Om te voorkomen dat wij gegevens aan de verkeerde persoon verstrekken, kunnen wij u vragen uw identiteit aan te tonen. Wij vragen daarbij niet meer gegevens dan nodig.

Een verzoek tot verwijdering kunnen wij niet altijd volledig inwilligen — bijvoorbeeld wanneer een wettelijke bewaarplicht geldt voor onze administratie. Wij lichten dat dan toe.

Wij plaatsen alleen noodzakelijke cookies: een sessiecookie voor het inloggen en voor het beveiligen van formulieren tegen misbruik. Zonder die cookie werkt de dienst niet, en daarvoor is geen toestemming nodig.

Er worden geen cookies geplaatst voor statistiek, advertenties of het volgen van bezoekers over websites heen. Daarom ziet u bij ons ook geen cookiebanner: er valt niets te kiezen.

Onze bezoekersstatistieken werken zonder cookies. Zie paragraaf 2 voor wat daarbij wel wordt vastgelegd.

10.1 Contact

Vragen over deze verklaring of over de manier waarop wij met gegevens omgaan? Stel uw vraag via het contactformulier, of schrijf naar KDV Online, Verbindingslaan 35, 1401 VC Bussum.

10.2 Klacht

Bent u niet tevreden over hoe wij uw verzoek of klacht hebben behandeld, dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag — autoriteitpersoonsgegevens.nl. Wij stellen het op prijs als u het eerst met ons probeert op te lossen.

10.3 Wijzigingen

Wij kunnen deze verklaring aanpassen wanneer onze dienstverlening of de wetgeving daartoe aanleiding geeft. De actuele versie staat altijd op onze website. Bij wezenlijke wijzigingen informeren wij onze klanten per e-mail.

• Versie 2.1 | 6 september 2026 — na een beveiligingsonderzoek: tweefactorauthenticatie is verplicht voor iedere gebruiker van de Kluis (hoofdstuk 6), en in 4.6 staat nu expliciet dat de ontsleutelsleutel alleen tijdens een geopende sessie en alleen in het werkgeheugen bestaat — gelijkluidend met artikel 10.2 van de Verwerkersovereenkomst.
• Versie 2.0 | 5 september 2026 — herzien na juridische review: onderscheid tussen de rol als verwerkingsverantwoordelijke en als verwerker doorgevoerd, beschrijving van de verwerkte gegevens teruggebracht tot wat de toepassing werkelijk vastlegt, het eigen gebruik van openbare gegevens en van afgeleide marktcijfers beschreven (4.2), de rekentool en de bewaartermijn daarvan toegevoegd (4.4), de cookieparagraaf gelijkgetrokken met wat de site werkelijk plaatst (9), routering van verzoeken en datalekmeldingen verduidelijkt, bij de benchmark vermeld dat die nog niet in gebruik is (4.2), en 4.2 en 4.6 bijgewerkt nadat de verhoudingsgetallen uit de database zijn gehaald.
• Versie 1.1 | Januari 2026 — eerste volledige versie.