Privacybeleid van Stipt

Laatst bijgewerkt op 22 oktober 2026

Stipt is een toepassing om werk- en leertijd te registreren: medewerkers of leerlingen klokken in en uit op een tablet, een pc of hun eigen gsm, en hun werkgever of organisatie ziet de prestaties in een beheerscherm. In dit beleid lees je welke persoonsgegevens Stipt verwerkt, waarom, hoe lang, en welke rechten je hebt.

1. Wie zijn wij

Stipt is een dienst van Buyrus, een handelsnaam van MinM Solutions bv (ondernemingsnummer 0885.013.548), Motemeerslaan 2, 8610 Kortemark. Vragen over privacy kan je mailen naar thomasbeirens@minm.be. Hieronder noemen we dat "Buyrus" of "wij".

2. Wie is verantwoordelijk voor welke gegevens

Dat hangt af van wiens gegevens het gaat:

Gegevens van medewerkers en leerlingen (namen, registraties, locatiecontrole). Die verwerken wij in opdracht van de organisatie die Stipt gebruikt, meestal je werkgever. Die organisatie is de verwerkingsverantwoordelijke: zij beslist waarom en hoe lang de gegevens worden bijgehouden. Buyrus is de verwerker en werkt alleen volgens haar instructies, op basis van een verwerkersovereenkomst (artikel 28 AVG). Heb je een vraag over je eigen registraties, richt je dan eerst tot je werkgever of organisatie.
Gegevens van beheerders (de mensen die zich aanmelden op het beheerscherm) en van klanten (contactpersonen, facturatie), en het technische gebruik van deze website. Daarvoor is Buyrus zelf verwerkingsverantwoordelijke.

3. Welke gegevens Stipt verwerkt

Medewerkers en leerlingen

Voornaam, achternaam en, als de organisatie dat invult, een personeelsnummer.
De taal waarin de terminal je aanspreekt.
Je persoonlijke code. Die wordt alleen als beveiligde hash bewaard en is voor niemand leesbaar, ook niet voor ons.
Je registraties: het tijdstip, de soort (start, pauze, einde), de terminal en de locatie waar je klokte.
Verbeteringen aan registraties: wie ze maakte, wanneer en met welke reden. Een foute registratie wordt nooit gewist, alleen ongeldig gemaakt.
Op welke locaties je mag klokken, als de organisatie dat beperkt.
Als je met je eigen gsm klokt: op het moment van klokken controleert de gsm één keer je positie. Wij bewaren niet je coördinaten, alleen de afstand tot de werkplek (in meter) en de nauwkeurigheid van de meting. Tussendoor wordt je locatie nooit opgevraagd, en we volgen je niet.

Stipt neemt geen foto's, vingerafdrukken of andere biometrische gegevens, en volgt niemand.

Beheerders

Gebruikersnaam en wachtwoord (alleen als beveiligde hash bewaard).
Als aanmelden in twee stappen aan staat: de sleutel voor de authenticator-app (versleuteld) en de herstelcodes (als hash).
Het tijdstip van de laatste aanmelding.
Een logboek van wat beheerders doen: verbeteringen, exports en wijzigingen, met wie en wanneer.

Terminals en technische gegevens

Per terminal: een naam, een sleutel (als hash), de locatie en wanneer de terminal laatst actief was.
Je IP-adres wordt gebruikt om de verbinding te maken, om herhaalde foute aanmeldingen en codes te blokkeren, en om na te gaan of een pc op het kantoornetwerk zit als de organisatie die controle aanzet. Het IP-adres wordt niet in de database van Stipt bewaard. Technische serverlogs worden maximaal 14 dagen bijgehouden.

4. Waarom en op welke rechtsgrond

Doel	Rechtsgrond (artikel 6 AVG)
Arbeids- of leertijd registreren, prestaties en lonen berekenen, registraties kunnen voorleggen aan inspectiediensten.	Voor de werkgever: een wettelijke verplichting (6.1.c), waar de wet een tijdsregistratie oplegt, en de uitvoering van de arbeidsovereenkomst (6.1.b). Voor andere organisaties: hun gerechtvaardigd belang (6.1.f). De organisatie bepaalt de rechtsgrond.
Nagaan dat iemand op de werkplek is bij het klokken (gsm, gps of kantoornetwerk).	Het gerechtvaardigd belang van de organisatie bij een betrouwbare registratie (6.1.f). Alleen als de organisatie het aanzet, en beperkt tot het moment van klokken.
Beheerdersaccounts, aanmelden en het logboek.	Uitvoering van de overeenkomst met de klant (6.1.b) en ons gerechtvaardigd belang bij beveiliging (6.1.f).
De dienst beveiligen en misbruik tegengaan.	Gerechtvaardigd belang (6.1.f).
Facturatie en boekhouding voor klanten.	Wettelijke verplichting (6.1.c).

We gebruiken de gegevens nooit voor reclame, verkopen ze niet en nemen er geen geautomatiseerde beslissingen mee.

5. Cookies en lokale opslag

Stipt gebruikt één cookie, tr_admin, om beheerders aangemeld te houden. Het vervalt na 8 uur zonder activiteit of bij afmelden. Op een terminal bewaart de browser de toestelsleutel, en op het beheerscherm het laatst geopende tabblad en de gekozen taal. Dat is allemaal strikt noodzakelijk om de dienst te laten werken, dus er is geen toestemming voor nodig. Er zijn geen cookies voor statistieken of reclame en geen cookies van derden.

6. Hoe lang we gegevens bewaren

Registraties en het logboek: zolang de organisatie instelt, tussen 1 en 10 jaar (standaard 5 jaar). Daarna worden ze automatisch gewist.
Gegevens van een gedeactiveerde medewerker of leerling: de naam wordt geanonimiseerd zodra er na de bewaartermijn geen registraties meer zijn.
Back-ups: versleuteld en maximaal 30 dagen bewaard.
Einde van het contract: de organisatie krijgt een export van haar gegevens, en daarna wissen we ze binnen 30 dagen, back-ups na hun termijn van 30 dagen.
Facturen: 7 jaar, zoals de boekhoudwet vraagt.

7. Waar de gegevens staan en wie ze ziet

De server staat bij een professionele hostingpartner in een datacenter in de Europese Unie.
Versleutelde back-ups worden ook in de Europese Unie bewaard.
Alle gegevens blijven in de Europese Unie. Er gaan geen gegevens naar landen buiten de EER.
Binnen een organisatie zien alleen haar beheerders de gegevens. Organisaties zien elkaars gegevens niet.
Buyrus-support kan de gegevens van een organisatie alleen openen als die organisatie dat toelaat in haar instellingen. Elk bezoek komt in haar logboek.
We geven gegevens alleen aan anderen als de wet ons daartoe verplicht.

8. Beveiliging

Verbindingen zijn versleuteld (HTTPS). Wachtwoorden, persoonlijke codes en toestelsleutels worden alleen als hash bewaard. Beheerders kunnen, of moeten als de organisatie dat vraagt, aanmelden in twee stappen. Herhaalde foute pogingen worden geblokkeerd, elke verbetering en export staat in het logboek, back-ups zijn versleuteld, en organisaties zijn van elkaar afgeschermd. Bij een datalek dat risico's inhoudt, verwittigen we de betrokken organisatie zonder onnodige vertraging.

9. Je rechten

Je hebt het recht om je gegevens in te zien, te laten verbeteren of wissen, de verwerking te laten beperken, bezwaar te maken en je gegevens mee te nemen (overdraagbaarheid). Sommige rechten zijn beperkt zolang de wet de organisatie verplicht de registraties te bewaren.

Medewerkers en leerlingen: vraag het aan je werkgever of organisatie. Die kan met één klik een export maken van alles wat over jou bewaard wordt. Kom je er niet uit, mail ons dan op thomasbeirens@minm.be en we helpen je organisatie verder.
Beheerders en klanten: mail ons op thomasbeirens@minm.be.

We antwoorden binnen een maand. We kunnen vragen om aan te tonen wie je bent.

10. Klacht

Ben je niet tevreden over hoe we met je gegevens omgaan, laat het ons dan eerst weten. Je hebt ook het recht om een klacht in te dienen bij de Gegevensbeschermingsautoriteit.

11. Wijzigingen

Als we dit beleid wijzigen, passen we de datum bovenaan aan. Bij belangrijke wijzigingen verwittigen we de organisaties die Stipt gebruiken.

Voor werkgevers en organisaties

Als je Stipt gebruikt, ben jij verantwoordelijk voor de gegevens van je mensen. Concreet:

Informeer je medewerkers of leerlingen dat je Stipt gebruikt, bijvoorbeeld met een verwijzing naar deze pagina. Het knopje "Privacy" op elke terminal toont een korte uitleg.
Neem de tijdsregistratie op in je arbeidsreglement, en als je de locatiecontrole gebruikt ook die.
Klokken met de eigen gsm is een keuze: bied wie dat niet wil een alternatief, zoals de tablet op de werkplek.
Je sluit met Buyrus een verwerkersovereenkomst; vraag ze op via thomasbeirens@minm.be.

Stipt privacy policy

Last updated 22 October 2026

Stipt is an application for registering working and learning time: employees or learners clock in and out on a tablet, a PC or their own phone, and their employer or organisation sees the times in a dashboard. This policy explains which personal data Stipt processes, why, for how long, and what your rights are.

1. Who we are

Stipt is a service of Buyrus, a trade name of MinM Solutions bv (company number 0885.013.548), Motemeerslaan 2, 8610 Kortemark, Belgium. Privacy questions can be emailed to thomasbeirens@minm.be. Below we call this "Buyrus" or "we".

2. Who is responsible for which data

That depends on whose data it is:

Data of employees and learners (names, clockings, location checks). We process this on behalf of the organisation that uses Stipt, usually your employer. That organisation is the controller: it decides why and for how long the data is kept. Buyrus is the processor and only acts on its instructions, under a data processing agreement (Article 28 GDPR). If you have a question about your own clockings, please ask your employer or organisation first.
Data of admins (the people who sign in to the dashboard), of customers (contact persons, invoicing) and the technical use of this website. For these, Buyrus itself is the controller.

3. What data Stipt processes

Employees and learners

First name, last name and, if the organisation fills it in, an employee number.
The language the terminal uses with you.
Your personal code. It is only stored as a secure hash and nobody can read it, not even us.
Your clockings: the time, the kind (start, break, stop), the terminal and the location where you clocked.
Corrections to clockings: who made them, when, and the reason. A wrong clocking is never deleted, only voided.
At which locations you may clock, if the organisation limits this.
If you clock with your own phone: at the moment you clock, the phone checks your position once. We do not store your coordinates, only the distance to the workplace (in metres) and the accuracy of the measurement. Your location is never requested in between, and you are not tracked.

Stipt takes no photos, fingerprints or other biometric data, and tracks nobody.

Admins

Username and password (stored only as a secure hash).
If two-step sign-in is on: the key for the authenticator app (encrypted) and the recovery codes (as a hash).
The time of the last sign-in.
A log of what admins do: corrections, exports and changes, with who and when.

Terminals and technical data

Per terminal: a name, a key (as a hash), its location and when it was last active.
Your IP address is used to make the connection, to block repeated wrong sign-ins and codes, and to check that a PC is on the office network when the organisation switches that check on. The IP address is not stored in Stipt's database. Technical server logs are kept for at most 14 days.

4. Why, and on what legal basis

Purpose	Legal basis (Article 6 GDPR)
Registering working or learning time, calculating hours and pay, showing the records to inspection services.	For employers: a legal obligation (6.1.c) where the law requires time registration, and performing the employment contract (6.1.b). For other organisations: their legitimate interest (6.1.f). The organisation decides the legal basis.
Checking that someone is at the workplace when clocking (phone, GPS or office network).	The organisation's legitimate interest in a reliable registration (6.1.f). Only when the organisation switches it on, and limited to the moment of clocking.
Admin accounts, signing in and the audit log.	Performing the contract with the customer (6.1.b) and our legitimate interest in security (6.1.f).
Securing the service and preventing abuse.	Legitimate interest (6.1.f).
Invoicing and accounting for customers.	Legal obligation (6.1.c).

We never use the data for advertising, never sell it, and make no automated decisions with it.

5. Cookies and local storage

Stipt uses one cookie, tr_admin, to keep admins signed in. It expires after 8 hours without activity or when you sign out. On a terminal the browser keeps the device key, and in the dashboard the last opened tab and the chosen language. All of this is strictly necessary for the service to work, so no consent is needed. There are no cookies for statistics or advertising and no third-party cookies.

6. How long we keep data

Clockings and the audit log: as long as the organisation sets, between 1 and 10 years (5 years by default). Then they are deleted automatically.
Data of a deactivated employee or learner: the name is anonymised once no clockings remain after the retention period.
Backups: encrypted and kept for at most 30 days.
End of the contract: the organisation gets an export of its data, after which we delete it within 30 days, and backups after their 30 days.
Invoices: 7 years, as Belgian accounting law requires.

7. Where the data is and who sees it

The server is hosted by a professional hosting partner in a data centre in the European Union.
Encrypted backups are also kept in the European Union.
All data stays in the European Union. No data goes to countries outside the EEA.
Within an organisation, only its admins see the data. Organisations cannot see each other's data.
Buyrus support can only open an organisation's data when that organisation allows it in its settings. Every visit is recorded in its audit log.
We only give data to others when the law requires us to.

8. Security

Connections are encrypted (HTTPS). Passwords, personal codes and device keys are only stored as hashes. Admins can sign in with two steps, and must when their organisation requires it. Repeated wrong attempts are blocked, every correction and export is in the audit log, backups are encrypted, and organisations are kept apart from each other. If a data breach poses a risk, we inform the organisation concerned without undue delay.

9. Your rights

You have the right to see your data, to have it corrected or deleted, to restrict its processing, to object, and to take your data with you (portability). Some rights are limited while the law requires the organisation to keep the records.

Employees and learners: ask your employer or organisation. They can export everything stored about you with one click. If that doesn't work out, email us at thomasbeirens@minm.be and we will help your organisation.
Admins and customers: email us at thomasbeirens@minm.be.

We reply within one month. We may ask you to show who you are.

10. Complaints

If you are not happy with how we handle your data, please tell us first. You also have the right to file a complaint with the Belgian Data Protection Authority (Gegevensbeschermingsautoriteit).

11. Changes

When we change this policy, we update the date at the top. For important changes we inform the organisations that use Stipt.

For employers and organisations

When you use Stipt, you are responsible for your people's data. In practice:

Tell your employees or learners that you use Stipt, for example with a link to this page. The "Privacy" button on every terminal shows a short explanation.
Include the time registration in your work regulations (arbeidsreglement / règlement de travail), and the location check too if you use it.
Clocking with one's own phone is a choice: offer an alternative, such as the tablet at the workplace, to anyone who doesn't want it.
You sign a data processing agreement with Buyrus; ask for it at thomasbeirens@minm.be.