AVG-naleving en beveiliging
Alles wat je FG moet weten voordat je tekent
CVpass is gebouwd om de due diligence van de FG (functionaris voor gegevensbescherming) van een openbare school of een adviesbureau te doorstaan. Hosting in de EU, ondertekenbare DPA, anonimisering na 6 maanden, strikte scheiding per organisatie. Volledige documentatie hieronder.
Zes concrete toezeggingen
Hosting in de Europese Unie
Database en bestandsopslag gehost bij Supabase (regio Frankfurt, Duitsland). Geen klantgegevens buiten de EU voor de primaire opslag.
Ondertekenbare DPA volgens artikel 28
Verwerkersovereenkomst conform artikel 28 van de AVG, standaard geaccepteerd bij het afsluiten van een B2B-abonnement. Een door beide partijen ondertekende versie is op aanvraag beschikbaar.
Anonimisering na 6 maanden
Geüploade cv's en vacatures worden na 6 maanden zonder activiteit verwijderd of geanonimiseerd. Technische gegevens 30 dagen na opzegging. Standaard een strikt beleid.
Scheiding per organisatie
Elke klantorganisatie heeft een eigen org_id. Geen onderlinge zichtbaarheid tussen organisaties. Row Level Security-beleid op databaseniveau.
End-to-end-versleuteling
TLS 1.2+ tijdens transport, AES-256 in rust in de database. SSL-certificaten worden automatisch vernieuwd. Versleutelde back-ups met een bewaartermijn van 7 dagen.
AI die niet traint op je gegevens
We gebruiken de API van OpenAI: verzonden gegevens worden niet gebruikt om de modellen te trainen, en OpenAI bewaart ze maximaal 30 dagen (misbruikmonitoring) voordat ze worden verwijderd.
Subverwerkers en doeleinden
Volledige lijst van subverwerkers en hun doeleinden. Elke wijziging wordt 30 dagen van tevoren per e-mail gemeld.
| Subverwerker | Regio |
|---|---|
| Vercel Inc. | Verenigde Staten (DPF) |
| Supabase Inc. | Duitsland (EU) |
| Clerk Inc. | Verenigde Staten (DPF) |
| OpenAI, LLC | Verenigde Staten (DPF) |
| Stripe Inc. | Verenigde Staten / Ierland |
| Brevo (Sendinblue) | Frankrijk (EU) |
Rechten van betrokkenen
CVpass stelt de verwerkingsverantwoordelijke de tools ter beschikking om verzoeken van betrokkenen te beantwoorden. Verzoeken die CVpass rechtstreeks ontvangt, worden binnen 5 werkdagen doorgestuurd.
- Recht op inzage in de gegevens
- Recht op rectificatie
- Recht op gegevenswissing
- Recht op overdraagbaarheid
- Recht van bezwaar
- Recht op beperking van de verwerking
FAQ
Meest gestelde vragen van FG's
De antwoorden op de 5 vragen die functionarissen voor gegevensbescherming ons als eerste stellen bij een audit vóór ondertekening.
Waar worden de gegevens opgeslagen? Blijven ze in de Europese Unie?
De primaire gegevens (cv's, vacatures, gebruiksmetadata, organisaties, leden) worden opgeslagen bij Supabase, regio Frankfurt (Duitsland, EU). Geen replicatie buiten de EU. De enige doorgiften naar de Verenigde Staten betreffen subverwerkers (Vercel voor front-endhosting, Clerk voor authenticatie, OpenAI voor de AI), allemaal gecertificeerd onder het DPF (Data Privacy Framework) en aanvullend gedekt door SCC's (standaardcontractbepalingen).
Kan de DPA door beide partijen worden ondertekend of geldt hij zoals hij is?
Allebei. De DPA wordt stilzwijgend geaccepteerd bij het afsluiten van een B2B-abonnement (tekst op /b2b/dpa). Organisaties die een ondertekening door beide partijen willen, mailen naar legal@cvpass.fr: we sturen binnen 48 werkuren een pdf terug, te ondertekenen via DocuSign of op papier, afhankelijk van je eisen.
Welk anonimiseringsbeleid geldt na afloop van het contract?
Verwijdering van technische gegevens (logs, metadata) binnen 30 dagen na opzegging. Verwijdering van geüploade cv's en vacatures binnen 90 dagen. Automatische anonimisering na 6 maanden zonder activiteit, ook bij actieve abonnementen (cv's worden niet onbeperkt bewaard). Facturen worden 10 jaar bewaard vanwege Franse boekhoudverplichtingen.
Wat doet OpenAI met onze gegevens wanneer de AI een cv analyseert?
OpenAI gebruikt ze niet om zijn modellen te trainen. Volgens de voorwaarden van de OpenAI-API worden verzonden gegevens maximaal 30 dagen bewaard voor misbruikmonitoring en daarna verwijderd. Vastgelegd in onze DPA volgens artikel 28.
Binnen welke termijn wordt een datalek gemeld?
Uiterlijk 48 uur na kennisname, per e-mail aan de aangewezen contactpersonen van de klantorganisatie, conform artikel 33 van de AVG. De FG van CVpass (dpo@cvpass.fr) coördineert de procedure, inclusief de melding aan de CNIL (de Franse privacytoezichthouder) indien nodig.
Een specifieke vraag over de AVG?
Onze functionaris voor gegevensbescherming antwoordt binnen 48 werkuren. Jaarlijkse documentaudit beschikbaar voor klanten met een contract.