As our terms set out under the GDPR:

• Your role: you stay responsible for the data, as the controller
• Our role: we only process it for you
• Processing agreement: a full one is ready on request

Yes.

• We document with you: the personal data, the people it concerns and how it is processed, as the law requires or you ask

In the EU.

• Location: all our data is stored in the EU
• Database: runs on Microsoft Azure
• Outside the EEA: if personal data ever leaves it, the EU standard contractual clauses apply

A few suppliers help us run Elly.

• Agreements: they are bound to our instructions
• Your data: handled only as our agreement with you sets out, as you allow in writing, or as the law requires
• The list: ask us for it: who, what for and where

You stay in control.

• Your role: your organisation is the controller; we only process on your behalf
• During the agreement: we keep the data while it runs
• After it ends: can be destroyed no later than 30 days after a request, as our privacy policy sets out

Not by name.

• Reports: only per team or larger group, never who said what
• Small groups: combined automatically, so each stays anonymous
• Individual answers: nobody in your organisation sees them without their consent

What Elly asks, who sees what, and how long we keep it. Send us their questions and we answer each one in writing.

• Purpose: your organisation sets it, as the controller; we only process for you
• Anonymity: we report only per team or larger group, and combine smaller groups automatically into groups of 10 to 20 people where reasonably possible
• Who sees what: nobody in your organisation sees individual answers without consent; at Elephants in the Room, only a few authorised staff
• Retention: while our agreement runs, destroyed no later than 30 days after it ends

Everything is anonymised.

• Your organisation: nobody sees individual answers, unless your colleagues gave their consent
• Elephants in the Room: only a few authorised staff can access them
• Reports: only per team or larger group
• Small groups: combined automatically into one large enough to stay anonymous, 10 to 20 people where reasonably possible

Please send it. We fill it in.

• Data location: in the EU
• Encryption: every connection, and the database at rest
• Access: only a few authorised staff can open the answers; your team logs in with a password, each participant gets a personal link
• Sub-processors: only as agreed with you, list on request
• Incidents: we tell you promptly, so you can report within your 72 hours
• Certification: ISO 27001 or SOC 2 of our own is in process; our host, Microsoft Azure, holds both
• Compliance checks: on reasonable request, we give you the information you need to check that we comply

Zoals onze voorwaarden onder de AVG vastleggen:

• Jouw rol: jij blijft verantwoordelijk voor de gegevens, als verwerkingsverantwoordelijke
• Onze rol: wij verwerken ze alleen voor jou
• Verwerkersovereenkomst: een volledige ligt op verzoek klaar

Ja.

• We leggen samen met je vast: om welke persoonsgegevens het gaat, om wie ze gaan en hoe ze verwerkt worden, zoals de wet vereist of jij vraagt

In de EU.

• Locatie: al onze gegevens staan in de EU
• Database: draait op Microsoft Azure
• Buiten de EER: gaan persoonsgegevens er ooit buiten, dan gelden de standaardcontractbepalingen van de EU

Een paar leveranciers helpen ons Elly te laten draaien.

• Overeenkomsten: ze zijn gebonden aan onze instructies
• Je gegevens: alleen verwerkt zoals onze overeenkomst met jou vastlegt, zoals jij schriftelijk toestaat, of zoals de wet vereist
• De lijst: vraag ons erom: wie, waarvoor en waar

Jullie houden de regie.

• Jullie rol: je organisatie is verwerkingsverantwoordelijke; wij verwerken alleen namens jullie
• Tijdens de overeenkomst: we bewaren de gegevens zolang die loopt
• Na afloop: kunnen uiterlijk 30 dagen na een verzoek vernietigd worden, zoals onze privacyverklaring vastlegt

Niet bij naam.

• Rapporten: alleen per team of grotere groep, nooit wie wat zei
• Kleine groepen: automatisch samengevoegd, zodat elke groep anoniem blijft
• Losse antwoorden: niemand in je organisatie ziet ze zonder hun toestemming

Wat Elly vraagt, wie wat ziet en hoe lang we het bewaren. Stuur ons hun vragen en we beantwoorden ze allemaal op papier.

• Doel: je organisatie bepaalt het, als verwerkingsverantwoordelijke; wij verwerken alleen voor jou
• Anonimiteit: we rapporteren alleen per team of grotere groep, en voegen kleinere groepen automatisch samen tot groepen van 10 tot 20 mensen, waar redelijkerwijs mogelijk
• Wie ziet wat: niemand in je organisatie ziet losse antwoorden zonder toestemming; bij Elephants in the Room alleen een paar bevoegde medewerkers
• Bewaartermijn: zolang onze overeenkomst loopt, uiterlijk 30 dagen na afloop vernietigd

Alles is geanonimiseerd.

• Je organisatie: niemand ziet losse antwoorden, tenzij je collega's daar toestemming voor gaven
• Elephants in the Room: alleen een paar bevoegde medewerkers kunnen erbij
• Rapporten: alleen per team of grotere groep
• Kleine groepen: automatisch samengevoegd tot een groep die groot genoeg is om anoniem te blijven, waar redelijkerwijs mogelijk 10 tot 20 mensen

Stuur hem gerust op. We vullen hem in.

• Opslag: in de EU
• Versleuteling: elke verbinding, en de database zelf
• Toegang: alleen een paar bevoegde medewerkers kunnen de antwoorden openen; je team logt in met een wachtwoord, elke deelnemer krijgt een persoonlijke link
• Subverwerkers: alleen zoals met jou afgesproken, lijst op verzoek
• Incidenten: we laten het je onverwijld weten, zodat jij binnen je eigen 72 uur kunt melden
• Certificering: eigen ISO 27001 of SOC 2 is in uitvoering; onze host, Microsoft Azure, heeft ze allebei
• Controle: op redelijk verzoek geven we je de informatie die je nodig hebt om te controleren dat we ons aan onze afspraken houden