Verwerkersovereenkomst (DPA)

Deze verwerkersovereenkomst (hierna de ‘DPA’) regelt de verwerking van persoonsgegevens door CVpass (hierna ‘de Verwerker’) namens de zakelijke klant die een B2B-abonnement heeft afgesloten (hierna ‘de Verwerkingsverantwoordelijke’), overeenkomstig artikel 28 van Verordening (EU) 2016/679 (AVG).

Ze vult de Algemene Gebruiksvoorwaarden B2B aan en heeft daarop voorrang bij strijdigheid met betrekking tot gegevensbescherming.

• Aard en doel: analyse van cv's, ATS-scoring, herschrijven met behulp van AI, pdf-generatie, beheer van ledenaccounts en geaggregeerde gebruiksstatistieken.
• Categorieën gegevens: identificatiegegevens (achternaam, voornaam, zakelijk e-mailadres), inhoud van cv's (loopbaan, vaardigheden, opleidingen), inhoud van geüploade vacatures, gebruiksmetadata.
• Categorieën betrokkenen: leden van de klantorganisatie (medewerkers, studenten, begeleide kandidaten).
• Duur: gedurende de volledige looptijd van het contract, plus een bewaartermijn van maximaal 30 dagen na opzegging voor technische gegevens en 6 maanden voor factuurgegevens, overeenkomstig de wettelijke verplichtingen.

CVpass verbindt zich ertoe:

• De gegevens uitsluitend te verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, tenzij een wettelijke verplichting anders bepaalt.
• De vertrouwelijkheid van de gegevens te waarborgen en ervoor te zorgen dat de gemachtigde personen aan een geheimhoudingsplicht zijn gebonden.
• De technische en organisatorische maatregelen te treffen die in artikel 6 zijn beschreven.
• De Verwerkingsverantwoordelijke bij te staan bij de naleving van zijn verplichtingen (beantwoording van verzoeken van betrokkenen, gegevensbeschermingseffectbeoordelingen, meldingen van inbreuken).
• Bij het verstrijken van het contract alle gegevens binnen 30 dagen te verwijderen of terug te geven, en back-upkopieën binnen een redelijke termijn van ten hoogste 90 dagen te vernietigen.

De Verwerkingsverantwoordelijke geeft CVpass toestemming de volgende subverwerkers in te schakelen:

• Vercel Inc. (Verenigde Staten, DPF-kader) — hosting van de applicatie, distributie en serverless functies.
• Supabase Inc. (Duitsland, Frankfurt) — PostgreSQL-database en bestandsopslag.
• Clerk Inc. (Verenigde Staten, DPF-kader) — authenticatie en beheer van organisaties.
• OpenAI, LLC (Verenigde Staten, DPF-kader) — semantische analyse en herschrijven met AI. Er worden geen gegevens gebruikt voor training; bewaring bij OpenAI maximaal 30 dagen (misbruikmonitoring).
• Stripe Inc. (Verenigde Staten / Ierland) — betalingsverwerking en facturatie.
• Brevo (voorheen Sendinblue) (Frankrijk) — verzending van transactionele e-mails.

Elke wijziging van deze lijst wordt de Verwerkingsverantwoordelijke 30 dagen van tevoren per e-mail meegedeeld, zodat deze om gegronde redenen bezwaar kan maken.

Doorgiften van gegevens naar de Verenigde Staten vallen onder de standaardcontractbepalingen (SCC's) van de Europese Commissie en het Data Privacy Framework wanneer de subverwerker daaronder is gecertificeerd.

• TLS 1.2+-versleuteling tijdens transport en versleuteling in rust van de database.
• Strikte scheiding van gegevens per organisatie (org_id).
• Sterke meervoudige authenticatie beschikbaar voor beheerders.
• Logging van toegang door beheerders en toegang uitsluitend via een versleutelde tunnel.
• Dagelijkse versleutelde back-ups met een bewaartermijn van 7 dagen.
• Cv- of vacaturegegevens die naar OpenAI worden verzonden, worden niet gebruikt voor training en door OpenAI binnen maximaal 30 dagen verwijderd.

CVpass meldt de Verwerkingsverantwoordelijke elke inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk 48 uur nadat CVpass er kennis van heeft genomen, per e-mail aan de aangewezen contactpersonen van de organisatie.

De Verwerkingsverantwoordelijke kan eenmaal per jaar en met een redelijke aankondigingstermijn een auditrapport of de documentatie van de beveiligingsmaatregelen opvragen. Een audit ter plaatse is mogelijk op kosten van de Verwerkingsverantwoordelijke, met inachtneming van de vertrouwelijkheid jegens de andere klanten.

CVpass stelt de Verwerkingsverantwoordelijke de tools ter beschikking om verzoeken van betrokkenen te beantwoorden (inzage, rectificatie, wissing, overdraagbaarheid, bezwaar). Verzoeken die CVpass rechtstreeks ontvangt, worden binnen 5 werkdagen doorgestuurd naar de Verwerkingsverantwoordelijke.

Functionaris voor gegevensbescherming: dpo@cvpass.fr.

Deze DPA wordt standaard aanvaard bij het afsluiten van een B2B-abonnement. Een door beide partijen ondertekende versie kan op verzoek worden verstrekt via legal@cvpass.fr.