Verwerkersovereenkomst

1. Onderwerp en duur

HirePortal verwerkt persoonsgegevens voor het aanbieden van de Dienst gedurende de looptijd van de hoofdovereenkomst en daarna uitsluitend voor verwijdering of retour, of voor zover een wettelijke bewaarplicht geldt.

2. Aard en doeleinden

Hosting, opslag, structurering, ophalen, raadplegen, verrijken op klantinstructie, matchingondersteuning, communicatievoorbereiding, AI-spraakinteractie, opname en transcriptie, afspraakplanning, logging, synchronisatie met ATS of CRM en ondersteuning. AI-spraakoproepen worden standaard opgenomen en getranscribeerd. Opnamen en transcripties worden gebruikt om de Dienst te leveren, gespreksverslagen te maken, kandidaatgegevens bij te werken, problemen met gesprekken te onderzoeken en opvolging door de klant mogelijk te maken. HirePortal gebruikt klantgesprekken niet om eigen AI-modellen te trainen.

3. Categorieën betrokkenen

Kandidaten, sollicitanten, potentiële kandidaten, contactpersonen van Klant en andere natuurlijke personen die Klant rechtmatig in de Dienst verwerkt.

4. Categorieën gegevens

Identificatie- en contactgegevens; professioneel profiel; arbeidsverleden; opleiding; vaardigheden; vacaturevoorkeuren; correspondentie; afspraken; call-status; technische metadata; publiek beschikbare professionele informatie voor zover door Klant geïnstrueerd. Bijzondere persoonsgegevens zijn standaard uitgesloten.

5. Gedocumenteerde instructies

HirePortal verwerkt uitsluitend op gedocumenteerde instructies van Klant, inclusief doorgifte buiten de EER, tenzij Unierecht of Nederlands recht HirePortal tot verwerking verplicht. Indien een instructie naar het oordeel van HirePortal inbreuk maakt op privacywetgeving, informeert HirePortal Klant en mag zij uitvoering opschorten.

6. Vertrouwelijkheid

Personen die onder gezag van HirePortal persoonsgegevens verwerken zijn gebonden aan passende geheimhouding.

7. Beveiliging

HirePortal implementeert een risicogebaseerd beveiligingsprogramma, waaronder toegangsbeperking, least privilege, logging, encryptie in transit en waar passend at rest, back-up en herstel, kwetsbaarheidsbeheer, incidentprocedures en periodieke beoordeling van maatregelen.

8. Subverwerkers

Klant geeft algemene toestemming voor de inzet van subverwerkers. HirePortal houdt de onderstaande lijst actueel, informeert vooraf of zo spoedig als redelijk mogelijk over materiële wijzigingen en legt subverwerkers materieel gelijkwaardige gegevensbeschermingsverplichtingen op. Klant kan op gemotiveerde gegevensbeschermingsgronden bezwaar maken tegen een wijziging.

9. Internationale doorgifte

Persoonsgegevens kunnen binnen en buiten de EER worden verwerkt. Internationale doorgiften worden beschermd door een adequaatheidsbesluit, het EU-US Data Privacy Framework waar van toepassing, Standard Contractual Clauses of gelijkwaardige juridische waarborgen.

10. Rechten betrokkenen

HirePortal ondersteunt Klant, rekening houdend met de aard van de verwerking, met passende technische en organisatorische maatregelen bij verzoeken om inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar en rechten inzake geautomatiseerde besluitvorming. HirePortal reageert niet zelfstandig inhoudelijk namens Klant tenzij zij daartoe is geïnstrueerd.

11. Datalekken

HirePortal meldt een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en in ieder geval binnen 48 uur nadat zij kennis heeft genomen van een inbreuk die Persoonsgegevens van Klant raakt. HirePortal verstrekt de beschikbare informatie die Klant redelijkerwijs nodig heeft voor beoordeling en een eventuele melding aan de Autoriteit Persoonsgegevens of betrokkenen. Een melding is geen erkenning van aansprakelijkheid.

12. DPIA en voorafgaande raadpleging

HirePortal verleent redelijke bijstand met informatie die binnen haar invloedssfeer ligt voor DPIA's en eventuele voorafgaande raadpleging. Klant blijft verantwoordelijk voor de noodzaak, uitvoering en besluitvorming daaromtrent.

13. Audit

HirePortal stelt de informatie beschikbaar die redelijkerwijs nodig is om naleving van artikel 28 AVG aan te tonen. Audits vinden maximaal eenmaal per jaar plaats, tenzij een incident of toezichthouder meer vereist, met redelijke voorafgaande kennisgeving, tijdens kantooruren, zonder onnodige verstoring en met bescherming van vertrouwelijke informatie van andere klanten.

14. Verwijdering en retour

Persoonsgegevens worden bewaard zolang dat nodig is om de Dienst te leveren en volgens de instructies van Klant. Na beëindiging van een account of een geldig verwijderverzoek worden actieve gegevens normaal gesproken binnen 30 dagen verwijderd. Resterende versleutelde back-ups kunnen maximaal 90 dagen bewaard blijven, tenzij de wet een langere bewaartermijn voorschrijft.

15. Eigen verplichtingen Klant

Klant blijft verwerkingsverantwoordelijke en is verantwoordelijk voor de rechtmatigheid, een geldige grondslag, het informeren van Kandidaten, het verkrijgen en aantonen van toestemming waar dit wettelijk vereist is, upload- en ATS-instructies, bewaartermijnen, juistheid, verzoeken van betrokkenen, bezwaar en suppressie, DPIA-beslissingen en de rechtmatigheid van ieder contactmoment. HirePortal mag verwerking blokkeren wanneer toestemming of bevoegdheid ontbreekt.

16. Aansprakelijkheid

De aansprakelijkheidsregeling uit de hoofdovereenkomst geldt, met inachtneming van de dwingendrechtelijke aansprakelijkheidsregeling van de AVG. Geen bepaling beperkt rechten van betrokkenen of bevoegdheden van toezichthouders.

Bijlage A — Verwerkingsinstructies

• Doel: recruitmentondersteuning volgens instellingen en instructies van Klant.
• Duur: looptijd abonnement plus de overeengekomen verwijderperiode.
• Frequentie: doorlopend zolang modules zijn geactiveerd.
• SmartWatcher: alleen verrijking van door Klant geselecteerde kandidaten, bronnen en velden of aantoonbaar door Klant ingestelde criteria.
• AI Voice: alleen bellen van door Klant geautoriseerde nummers met de vereiste consent- en contact-authority-metadata.
• Opname en transcriptie: standaard ingeschakeld voor AI-spraakoproepen en uitsluitend gebruikt om de Dienst te leveren, gespreksverslagen te maken, kandidaatgegevens bij te werken, problemen met gesprekken te onderzoeken en opvolging door Klant mogelijk te maken.
• Geautomatiseerde beslissingen: HirePortal neemt geen autonome beslissingen over aanstelling, selectie of afwijzing.
• Gekoppelde diensten: Zoho Recruit, agenda's en andere ATS-systemen worden door Klant geactiveerd en ontvangen alleen de gegevens die voor de koppeling nodig zijn.
• Bijzondere gegevens: niet toegestaan als standaardinstructie.