Auftragsverarbeitungsvertrag (DPA)

Dieser Auftragsverarbeitungsvertrag (nachfolgend „DPA“) regelt die Verarbeitung personenbezogener Daten durch CVpass (nachfolgend „der Auftragsverarbeiter“) im Auftrag des gewerblichen Kunden, der einen B2B-Tarif abgeschlossen hat (nachfolgend „der Verantwortliche“), gemäß Artikel 28 der Verordnung (EU) 2016/679 (DSGVO).

Er ergänzt die Allgemeinen Nutzungsbedingungen B2B und hat bei Abweichungen in Bezug auf den Datenschutz Vorrang vor diesen.

• Art und Zweck: Analyse von Lebensläufen, ATS-Scoring, KI-gestützte Umformulierung, PDF-Erstellung, Verwaltung der Mitgliederkonten und aggregierte Nutzungsstatistiken.
• Datenkategorien: Identifikationsdaten (Name, Vorname, berufliche E-Mail-Adresse), Inhalte von Lebensläufen (Werdegang, Kompetenzen, Ausbildung), Inhalte hochgeladener Stellenangebote, Nutzungsmetadaten.
• Kategorien betroffener Personen: Mitglieder der Kundenorganisation (Mitarbeitende, Studierende, betreute Bewerberinnen und Bewerber).
• Dauer: während der gesamten Vertragslaufzeit, zuzüglich einer Aufbewahrungsfrist von höchstens 30 Tagen nach der Kündigung für technische Daten und von 6 Monaten für Abrechnungsdaten gemäß den gesetzlichen Pflichten.

CVpass verpflichtet sich:

• Die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, sofern keine gegenteilige gesetzliche Pflicht besteht.
• Die Vertraulichkeit der Daten zu gewährleisten und sicherzustellen, dass die befugten Personen einer Vertraulichkeitspflicht unterliegen.
• Die in Artikel 6 beschriebenen technischen und organisatorischen Maßnahmen umzusetzen.
• Den Verantwortlichen bei der Einhaltung seiner Pflichten zu unterstützen (Beantwortung von Anfragen zu Betroffenenrechten, Datenschutz-Folgenabschätzungen, Meldungen von Verletzungen).
• Nach Ablauf des Vertrags sämtliche Daten innerhalb von 30 Tagen zu löschen oder zurückzugeben und Sicherungskopien innerhalb einer angemessenen Frist von höchstens 90 Tagen zu vernichten.

Der Verantwortliche genehmigt CVpass, die folgenden Unterauftragsverarbeiter einzusetzen:

• Vercel Inc. (USA, DPF-Rahmen) — Hosting der Anwendung, Auslieferung und Serverless-Funktionen.
• Supabase Inc. (Deutschland, Frankfurt) — PostgreSQL-Datenbank und Dateispeicherung.
• Clerk Inc. (USA, DPF-Rahmen) — Authentifizierung und Verwaltung der Organisationen.
• OpenAI, LLC (USA, DPF-Rahmen) — semantische Analyse und KI-Umformulierung. Es werden keine Daten zu Trainingszwecken verwendet; Speicherung bei OpenAI höchstens 30 Tage (Missbrauchsüberwachung).
• Stripe Inc. (USA / Irland) — Zahlungsabwicklung und Rechnungsstellung.
• Brevo (ehemals Sendinblue) (Frankreich) — Versand von Transaktions-E-Mails.

Jede Änderung dieser Liste wird dem Verantwortlichen per E-Mail mit einer Frist von 30 Tagen mitgeteilt, sodass er aus berechtigtem Grund widersprechen kann.

Datenübermittlungen in die USA erfolgen auf Grundlage der Standardvertragsklauseln (SCC) der Europäischen Kommission sowie des Data Privacy Framework, sofern der Unterauftragsverarbeiter danach zertifiziert ist.

• TLS-1.2+-Verschlüsselung bei der Übertragung und Verschlüsselung der Datenbank im Ruhezustand.
• Strikte Trennung der Daten nach Organisation (org_id).
• Starke Multi-Faktor-Authentifizierung für Administratoren verfügbar.
• Protokollierung der Administratorzugriffe und Zugriff ausschließlich über einen verschlüsselten Tunnel.
• Tägliche verschlüsselte Backups mit 7 Tagen Aufbewahrung.
• An OpenAI übermittelte Lebenslauf- oder Stellenangebotsdaten werden nicht zum Training verwendet und von OpenAI innerhalb von höchstens 30 Tagen gelöscht.

CVpass meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich und spätestens 48 Stunden, nachdem sie CVpass bekannt geworden ist, per E-Mail an die in der Organisation benannten Kontaktpersonen.

Der Verantwortliche kann einmal jährlich und mit angemessener Vorankündigung einen Auditbericht oder die Dokumentation der Sicherheitsmaßnahmen anfordern. Ein Audit vor Ort ist auf Kosten des Verantwortlichen möglich, unter Wahrung der Vertraulichkeit gegenüber den anderen Kunden.

CVpass stellt dem Verantwortlichen die nötigen Werkzeuge bereit, um Anfragen betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Widerspruch). Anfragen, die direkt bei CVpass eingehen, werden innerhalb von 5 Werktagen an den Verantwortlichen weitergeleitet.

Datenschutzbeauftragter: dpo@cvpass.fr.

Dieser DPA gilt mit dem Abschluss eines B2B-Tarifs standardmäßig als angenommen. Eine beidseitig unterzeichnete Fassung kann auf Anfrage über legal@cvpass.fr bereitgestellt werden.