Home » Privacy en veiligheid

Veilig en vertrouwd

Goed onderzoek begint met vertrouwen. Medewerkers moeten erop kunnen vertrouwen dat zij vrij en eerlijk kunnen antwoorden en dat zorgvuldig met hun gegevens wordt omgegaan. Daarom zijn privacy en informatiebeveiliging een vast onderdeel van onze werkwijze.

 

We verwerken gegevens volgens de AVG en de gedragscode van onze brancheorganisatie Data & Insights Network. Daarbij werken we vanuit het principe: zo min mogelijk persoonsgegevens verzamelen, goed beveiligen en alleen gebruiken waarvoor ze nodig zijn.

Zo beschermen we onderzoeksgegevens

Bij ieder onderzoek nemen we technische en organisatorische maatregelen om gegevens te beschermen. Op hoofdlijnen betekent dit:

  • Zo min mogelijk persoonsgegevens
    We verzamelen alleen gegevens die nodig zijn om het onderzoek goed uit te voeren, zoals een zakelijk e-mailadres en eventueel afdeling of functiecategorie.
  • Snel de-identificeren
    Na de gegevensverzameling wordt de koppeling tussen e-mailadres en antwoorden verbroken. Onderzoeksdata worden vervolgens zonder direct identificerende gegevens verwerkt.
  • Veilige opslag
    Voor online vragenlijsten gebruiken we Medallia, waarbij onderzoeksdata binnen de EU worden opgeslagen. De verdere verwerking vindt plaats in onze eigen beveiligde omgeving.
  • Beveiligde toegang en verzending
    We werken onder andere met encryptie, MFA, toegangsbeheer en beveiligde verbindingen. Rapportages worden via beveiligde kanalen gedeeld en niet als bijlage via gewone e-mail verstuurd.
  • Rapporteren zonder herleidbaarheid
    Resultaten worden op groepsniveau gerapporteerd. Daarbij hanteren we minimale groepsgroottes en extra waarborgen bij gevoelige onderwerpen, zodat antwoorden niet naar individuele medewerkers te herleiden zijn.
  • Niet langer bewaren dan nodig
    We hanteren vaste bewaartermijnen voor persoonsgegevens, onderzoeksdata en rapportages. Gegevens worden daarna verwijderd, geanonimiseerd of, waar nodig voor trendanalyses, uitsluitend geaggregeerd bewaard.

Zorgvuldig omgaan met AI

Ook bij het gebruik van AI staat privacy voorop. AI wordt alleen ondersteunend ingezet en niet voor geautomatiseerde besluitvorming of profilering. Wanneer AI onderdeel is van een onderzoek, werken we binnen een beveiligde Microsoft 365-omgeving en verwijderen we vooraf herleidbare informatie. Ingevoerde onderzoeksgegevens worden niet gebruikt voor het trainen van publieke AI-modellen.

 

Privacy van begin tot eind

Privacy en veiligheid stoppen niet bij techniek. We werken onder andere met interne privacyrichtlijnen, toegangs- en autorisatiebeleid, een verwerkingsregister, verwerkersovereenkomsten, een datalekprotocol en periodieke risico- en leveranciersbeoordelingen. Medewerkers zijn gebonden aan geheimhouding en worden getraind op privacy en informatiebeveiliging.

Zo zorgen we gedurende het hele onderzoek voor een zorgvuldige omgang met gegevens, van het uitnodigen van medewerkers tot het opleveren en bewaren van de resultaten.

Meer weten over privacy en veiligheid?

Heb je als opdrachtgever, privacy officer of FG vragen over onze privacy- en veiligheidsmaatregelen? We hebben onze werkwijze uitgebreid vastgelegd in een Privacy- en Veiligheidshandboek, dat we graag met je delen.

Gaan we samenwerken? Dan maken we daarnaast duidelijke afspraken over de verwerking en bescherming van gegevens en sluiten we waar nodig een verwerkersovereenkomst af.

Contact over Veiligheid & Privacy

Veelgestelde vragen

We verzamelen bewust zo min mogelijk persoonsgegevens. Meestal gaat het om een zakelijk e-mailadres en gegevens die nodig zijn voor de rapportage, zoals afdeling, team of functiecategorie. Gegevens zoals privé-adressen, BSN-nummers of geboortedata zijn voor onze onderzoeken doorgaans niet nodig.

We nemen verschillende maatregelen om te voorkomen dat antwoorden herleidbaar zijn tot individuele medewerkers. Resultaten worden op groepsniveau gerapporteerd en bij kleine groepen of gevoelige onderwerpen gelden extra waarborgen. Zo kunnen medewerkers zo vrij en eerlijk mogelijk deelnemen.

Voor het versturen van vragenlijsten en verzamelen van antwoorden gebruiken we Medallia. De onderzoeksdata worden opgeslagen op servers binnen de EU, in Ierland. Na de gegevensverzameling vindt verdere verwerking plaats in de eigen beveiligde omgeving van de MonitorGroep.

We werken onder andere met encryptie, MFA, toegangsbeheer, beveiligde verbindingen, back-ups en centraal beheerde apparaten. Onderzoeksdata zijn alleen toegankelijk voor geautoriseerde medewerkers die deze voor hun werkzaamheden nodig hebben.

We bewaren gegevens niet langer dan nodig. E-mailadressen die nodig zijn voor de gegevensverzameling of persoonlijke profielen worden in principe maximaal 2 maanden bewaard. Gegevens die nodig zijn om rapportages samen te stellen kunnen maximaal 6 maanden worden bewaard. Geaggregeerde resultaten voor bijvoorbeeld trendanalyses kunnen maximaal 2 jaar worden bewaard.

Ja. Onze werkwijze is ingericht volgens de AVG en de gedragscode van onze brancheorganisatie Data & Insights Network. We werken onder andere met een verwerkingsregister, datalekprotocol, bewaartermijnenbeleid, toegangs- en autorisatiebeleid en periodieke risico- en leveranciersbeoordelingen.

Ja. Bij onze onderzoeken verwerken we gegevens namens de opdrachtgever. Hiervoor maken we duidelijke afspraken over de verwerking en beveiliging van persoonsgegevens en sluiten we een verwerkersovereenkomst af. Ook met relevante subverwerkers zijn afspraken over gegevensverwerking gemaakt.

AI kan ondersteunend worden ingezet, bijvoorbeeld voor het analyseren of samenvatten van informatie. Als we AI bij onderzoek gebruiken, gebeurt dit binnen een beveiligde Microsoft 365-omgeving en verwijderen we vooraf herleidbare informatie. AI wordt niet gebruikt voor geautomatiseerde besluitvorming of profilering en medewerkers beoordelen altijd de uiteindelijke output. Ingevoerde onderzoeksgegevens worden niet gebruikt voor het trainen van publieke AI-modellen.

We hebben een vast datalekprotocol. Bij een incident nemen we direct maatregelen om het lek te stoppen en mogelijke schade te beperken. De opdrachtgever wordt volgens ons protocol binnen 24 uur geïnformeerd. Wanneer dat op grond van de AVG nodig is, wordt het incident gemeld bij de Autoriteit Persoonsgegevens en worden betrokkenen geïnformeerd.