Verwerkersovereenkomst EXENZO
Versie 1.0 - 25-5-2018
Als je gebruikmaakt van EXENZO software en/of diensten, leg je diverse gegevens van je gebruikers, kandidaten, medewerker, professionals en eventuele anderen vast. Daarbij zitten ook persoonsgegevens, zoals namen, (e-mail)adressen en telefoonnummers. Juridisch gezien word jij aangemerkt als verantwoordelijke voor de verwerking van die persoonsgegevens. Wijzelf worden aangemerkt als de verwerker, omdat wij het met ons systeem voor je mogelijk maken om deze gegevens op te slaan en te gebruiken.
Volgens de Algemene Verordening Gegevensverwerking (AVG) moet je afspraken met ons maken over de verwerking van de persoonsgegevens waarvoor jij de verantwoordelijke bent. Zo moet je ons expliciet de opdracht geven om die gegevens via ons systeem te verwerken. Ook moet je aangeven wat wij wel en niet met die gegevens mogen doen en hoe wij de gegevens moeten beveiligen. In deze overeenkomst leggen we deze afspraken vast.
Let op: instructies
Deze verwerkersovereenkomst is vanaf 25 mei 2018 integraal onderdeel geworden van onze gebruiksvoorwaarden. Je hoeft dus niks te doen om deze overeenkomst geldig te maken. De overeenkomst is dan ook direct van kracht. Enkel als je het niet eens bent met deze overeenkomst neem je zo spoedig mogelijk contact met ons op om een passende oplossing te vinden.
Uitzondering: Maak je nog gebruik van het EXENZO SRM model, dan zijn wij niet de verwerker maar de eindverantwoordelijke. Deze verwerkersovereenkomst is dan niet voor jou van toepassing maar geeft je wel een goed beeld over hoe wij voldoen aan de AVG wetgeving.
Voor vragen en/of opmerkingen kan je altijd mailen naar support@exenzo.com.
1. Wie is wie?
Als je in deze verwerkersovereenkomst ‘jij’, ‘je’ of ‘jou(w)’ leest, bedoelen we jou als klant van de portal en/of apps van EXENZO en die met ons een overeenkomst tot gebruik van EXENZO heeft gesloten.
Lees je ‘wij’, ‘we’, ‘ons’, of ‘onze’, dan bedoelen we EXENZO NL B.V., gevestigd aan de Lange Brugstraat 39a te Breda. EXENZO NL B.V. is ingeschreven bij de Kamer van Koophandel onder nummer 58240691.
2. Wat betekenen alle juridische termen? Zoals verwerker, betrokkene en verantwoordelijke?
Omdat er in de AVG veel juridische termen gebruikt worden, leggen we deze graag eerst uit. Dit helpt je bij het lezen van de rest van dit document.
Persoonsgegeven: elk gegeven dat informatie geeft over een natuurlijk persoon en waarmee je direct of indirect de identiteit van deze persoon kunt vaststellen. Bijvoorbeeld een naam, (e-mail)adres of telefoonnummer.
Betrokkene: de persoon op wie een persoonsgegeven betrekking heeft, of zijn vertegenwoordiger. Dit is bijvoorbeeld de bezoeker, kandidaat, medewerker of de professional die je toegang geeft tot EXENZO applicatie(s).
Verwerken van persoonsgegevens: alles wat je met persoonsgegevens kunt doen, zoals:
het verzamelen, vastleggen en ordenen van gegevens;
het opvragen, wijzigen en raadplegen van gegevens;
het verstrekken van gegevens aan anderen;
het afschermen of vernietigen van gegevens.
Verantwoordelijke: de persoon of organisatie die bepaalt:
of er persoonsgegevens mogen worden verwerkt en zo ja, welke;
met welk doel deze persoonsgegevens mogen worden verwerkt;
wat die verwerking precies inhoudt; en
welke middelen daarbij gebruikt mogen worden.
In deze verwerkersovereenkomst ben jij de verantwoordelijke.
Verwerker: de persoon of de organisatie die voor de verantwoordelijke persoonsgegevens verwerkt, bijvoorbeeld via een webapplicatie. In deze verwerkersovereenkomst zijn wij, EXENZO, de verwerker.
Verwerkersovereenkomst: een overeenkomst waarin de verantwoordelijke (jij) en de verwerker (wij) afspraken maken over de verwerking van persoonsgegevens. Dit is de overeenkomst die je nu voor je hebt.
3. Wanneer geldt deze verwerkersovereenkomst? En kan je deze tussentijds opzeggen?
Deze verwerkersovereenkomst geldt vanaf 25 mei 2018 of de datum waarop deze wordt afgesloten. Door (online) lid te worden van EXENZO applicaties en/of diensten, komt de verwerkersovereenkomst tot stand. Deze verwerkersovereenkomst is onderdeel van de overeenkomst die we met je hebben gesloten voor het gebruik van EXENZO applicaties en/of diensten. Als jij of wij die overeenkomst beëindigen, eindigt deze verwerkersovereenkomst automatisch ook.
Je kunt deze verwerkersovereenkomst niet apart opzeggen. Je kunt hem alleen opzeggen als je ook de overeenkomst voor het gebruik van EXENZO opzegt. In dat geval wordt deze
verwerkersovereenkomst per direct beëindigd.
4. Welke persoonsgegevens verwerken we voor jou? En met welke doelen doen we dat?
Jij bent verantwoordelijk voor de persoonsgegevens die jij, je bezoekers, kandidaten, medewerkers en professionals en eventuele derden via EXENZO aan ons beschikbaar stellen. Wij verwerken deze persoonsgegevens alleen in opdracht van jou. Met deze verwerkersovereenkomst geef je ons de opdracht om de volgende categorieën van gegevens te verwerken:
Voor alle betrokkenen:
NAW-gegevens
Contactgegevens; zoals telefoonnummer, e-mailadres
Profielgegevens; zoals rol/functie, geslacht, foto
Gebruik van het systeem; zoals welke gegevens wanneer in het systeem bekeken of gewijzigd zijn, uitgevoerde zoekopdrachten, IP-adres
Communicatiegegevens, zoals chat-, e-mail en andere berichten van/aan kandidaten, medewerkers, professionals of derden
Voor kandidaten:
Extra profielgegevens; zoals geboortedatum, social media profielen, foto’s, video’s
Werkgerelateerde gegevens; zoals cv, arbeidsverleden, opleidingshistorie, vaardigheden, interesses, toepasselijke regelingen, beschikbaarheid
Werkgerelateerde activiteiten; zoals sollicitatiegegevens, cursussen
Gezondheidsgerelateerde gegevens; zoals belastbaarheid
Testresultaten en -antwoorden
Voor het doel: het ondersteunen van werkzoekenden en werkgevers bij het vinden van de juiste baan en/of werknemer. Ondersteuning bij hun loopbaan, mobiliteit en/of
employability; inclusief alle activiteiten die hierbij horen. Het verkopen van banen advertentie en/of job board producten, het verkrijgen van verkeer op de website / applicatie, inclusief alle activiteiten die hierbij horen, zoals o.a. marketing.
Dit kan bijvoorbeeld zijn het inzetten van banen zoekmachine, job alerts, CV-databank, loopbaantesten, jobhunting of het versturen van kandidaatgegevens naar werkgevers. Het plaatsen van cookies voor b.v. display (re-targeting). Het meten van verkeer en het analyseren van dit verkeer. Het kan zijn dat we op een later moment extra functionaliteiten aanbieden die horen bij het ondersteunen en stimuleren van vraag en aanbod op de arbeidsmarkt en/of loopbaanmobiliteit. Als dit het geval is, dan hoort dat binnen de opdracht die je ons hebt gegeven en hoeven we niet apart toestemming te vragen voor het gebruik.
5. Aan welke regels houden wij ons?
Bij het verwerken van persoonsgegevens houden wij ons aan de wet. We verwerken deze gegevens op een behoorlijke, zorgvuldige en transparante manier, zoals de wet dat voorschrijft. De persoonsgegevens zijn van jou en we gebruiken deze alleen voor de doelen die we hierboven in artikel 4 hebben genoemd. Als we de gegevens ruimer willen gebruiken, vragen we hiervoor toestemming van jou of soms ook van jouw klanten en/of zorgen we voor een wettelijke grondslag hiervoor.
De persoonsgegevens die je invoert - of die wij namens jou verzamelen - blijven van jou. Dat betekent dat als je de overeenkomst opzegt, je de persoonsgegevens kunt opvragen. Een deel van deze gegevens kun je uit het systeem overnemen en/of eenvoudig exporteren. Wil je meer of uitgebreidere gegevens ontvangen? Vraag ons dan naar de mogelijkheden en de benodigde tijd (en kosten) om dit voor je te regelen. Let op: doe dit wel voor de beëindiging van de overeenkomst. We verwijderen de persoonsgegevens namelijk na de beëindiging.
6. Wie krijgen er nog meer toegang tot de persoonsgegevens?
We maken zonder jouw toestemming geen gebruik van de diensten van andere organisaties, als deze daarbij toegang krijgen tot de persoonsgegevens waarvoor jij verantwoordelijk bent. Wel maken we gebruik van de diensten van subverwerkers. Dit zijn personen of organisaties die in opdracht van ons persoonsgegevens uit EXENZO verwerken, bijvoorbeeld om berichten naar je kandidaten te sturen. We werken hiervoor met subverwerkers. Welke dat zijn lees je op http://support.exenzo.com/privacy/subverwerkers.
We maken goede afspraken met hen over hoe ze met deze gegevens omgaan. Ook spreken we met hen dezelfde beveiligingsmaatregelen af als die we met jou afspreken. Door deze
verwerkersovereenkomst te ondertekenen geef je ons toestemming om subverwerkers in te
schakelen. Als we een andere subverwerker gaan gebruiken, informeren we je altijd vooraf. Blijf je na de aankondiging gebruik maken van EXENZO, dan heb je hierbij het akkoord gegeven voor die subverwerkers.
7. Waar worden de persoonsgegevens opgeslagen?
We hosten en verwerken de persoonsgegevens binnen de Europese Economische Ruimte (EER). We maken gebruik van Europese servers bij Google in Nederland en van Tilaa in Nederland. Enkele van de subverwerkers, zoals omschreven bij artikel 6, kunnen gegevens opslaan buiten de EER. Op de lijst van subverwerkers kun je lezen welke dat zijn. Deze subverwerkers zijn aangesloten bij Privacy Shield. Dat betekent dat ze aan beveiligingseisen voldoen, die door de Europese Commissie als adequaat worden beschouwd. Je geeft ons hierbij toestemming om de persoonsgegevens buiten de EER op te slaan.
8. Hoe beveiligen we de persoonsgegevens?
Om de persoonsgegevens te beveiligen hebben we passende technische en organisatorische maatregelen genomen. De keuze van deze maatregelen hebben we gebaseerd op de beschikbare technologie, de uitvoeringskosten, het type persoonsgegevens dat wij voor jou verwerken (zie artikel 4) en de risico’s die daaraan verbonden zijn. We streven er naar dat deze maatregelen voldoen aan
de eisen in artikel 32 van de AVG.
A. Organisatorische beveiligingsmaatregelen
Aangewezen security officer
Beleid en regels voor gebruik (mobiele) apparatuur
Beleid voor informatiebeveiliging
Beleid voor veilig ontwikkelen
Beleid voor informatieclassificatie
Blokkeren toegangsrechten van medewerkers als toegang niet meer noodzakelijk is
Geheimhoudingsplicht van medewerkers en ingeschakelde derden
Maatregelen Privacy en bescherming van persoonsgegevens conform AVG
Periodieke toetsing van toegangsrechten medewerkers
Procedure voor detectie en verhelpen technische kwetsbaarheden
Procedure voor informatiebeveiligingsincidenten
Procedure voor melding van incidenten
Procedures voor wijzigingsbeheer, privacy-by-design en privacy-by-default principes
Screening van medewerkers
Security awareness trainingen voor alle medewerkers
B. Technische beveiligingsmaatregelen
Access control en policies voor geautoriseerde toegang tot gegevens
Actuele encrypted backup in ander datacenter
Beveiligde verbinding voor data uitwisseling tussen systemen
Beveiliging van kantoorruimte
Gebruik van cryptografische algoritmen voor versleuteling van bijv. wachtwoorden
Logbestanden van belangrijke verwerkingen
Monitoring van beschikbaarheid van de applicatie
Monitoring van foutmeldingen / performance
Opslag gegevens in beveiligde datacenters, geen fysieke toegang voor medewerkers
Scheiding van netwerken (multi-tier incl. firewalls)
Scheiding van ontwikkel-, test- en productieomgevingen
Validatie van invoergegevens
Waar mogelijk geanonimiseerde opslag bij / doorgifte aan / koppeling met Subverwerkers
Wachtwoordbeleid met 2-factor authenticatie principe (waar mogelijk)
We beseffen dat de beveiligingseisen en de technologie voortdurend veranderen. Daarom spannen we ons in om de maatregelen die we op basis van dit artikel hebben genomen, voortdurend te evalueren en waar nodig te verscherpen, aan te vullen of te verbeteren.
9. Wat kan jij doen om de uitvoering van onze afspraken te controleren?
Als opdrachtgever heb jij het recht om periodiek audits uit te (laten) voeren om te controleren of wij voldoen aan de afspraken die in deze verwerkersovereenkomst staan. Hierover spreken we het volgende af:
We spannen ons altijd in om aan de afspraken uit deze verwerkersovereenkomst te voldoen. Ook kan het zijn dat we ons door een onafhankelijke en externe auditor laten controleren en dus een audit laten uitvoeren. Als dit het geval is, dan kan je altijd een afspraak maken om de rapportage van de externe en onafhankelijke auditor in te zien.
Als we een dergelijk auditrapport ter inzage hebben liggen, dan is dit de manier waarop je kan controleren of we ons aan de afspraken houden uit deze overeenkomst. Alleen als je met goede argumenten kunt aantonen dat we ons niet aan de afspraken uit deze overeenkomst hebben gehouden, dan heb je het recht om zelf een audit uit te laten voeren door een externe auditor op jouw eigen kosten. Dit recht heb je ook als we nog geen auditrapport ter inzage hebben liggen.
Als jij een audit wilt (laten) uitvoeren, kondig je dit minimaal 14 dagen van tevoren schriftelijk aan ons aan. Komt de datum en/of het tijdstip van de audit ons niet uit, dan laten we dit aan je weten en doen we een voorstel voor een vervangende datum en/of tijdstip.
Je maakt gebruik van een externe auditor die lid is van de Norea, of een auditor die voldoet aan dezelfde kwaliteitsstandaarden die de Norea stelt aan haar leden, zoals bijvoorbeeld de eis van geheimhouding en onafhankelijkheid. Voldoet de externe auditor niet aan deze kwaliteitseisen, dan behouden we het recht voor om deze te weigeren.
De personen die de audits uitvoeren, houden zich aan de beveiligingsprocedures die bij ons van kracht zijn. Dat betekent bijvoorbeeld dat ze geheimhouding afspreken. Ook jij houdt de uitslag van de audit geheim. Het is niet toegestaan hierover met derden te communiceren. Dit mag wel als we hiervoor toestemming hebben gegeven. We overleggen dan hier graag met je over.
Wij werken aan de audits mee en leveren zo tijdig mogelijk alle informatie aan die hiervoor redelijkerwijs relevant is. De kosten van de audits zijn voor jouw rekening.
10. Wat moeten jij en wij doen als er een datalek is?
Een datalek is een beveiligingsincident waarbij persoonsgegevens verloren zijn gegaan of waarbij er mogelijk onrechtmatig verwerking van persoonsgegevens niet kan worden uitgesloten. Hierover maken we de volgende afspraken:
Ontdekken wij dat er een datalek is of is geweest? En is er een aanzienlijke kans dat dit datalek nadelige gevolgen heeft voor de bescherming van de persoonsgegevens die wij voor jou verwerken? Dan laten we dit onmiddellijk aan je weten. Dit doen we uiterlijk binnen 48 uur nadat we het datalek hebben ontdekt.
Vervolgens overleggen we met jou over:
de aard van het datalek;
het risico dat jij en wij hiermee lopen, hebben gelopen of hadden kunnen lopen;
de maatregelen die we treffen of al getroffen hebben om het datalek op te lossen of om de gevolgen of schade zo veel mogelijk te beperken.
Na onze melding beoordeel jij of je het datalek moet melden aan de Autoriteit Persoonsgegevens en aan de mensen op wie de persoonsgegevens betrekking hebben (bijvoorbeeld jouw klanten en leveranciers). Wij doen dit zelf niet, omdat jij verantwoordelijk bent voor de wettelijke verplichtingen in dit kader.
Als de Autoriteit Persoonsgegevens een onderzoek naar het datalek start, dan laten wij dit meteen aan jou weten en werken we mee aan een onderzoek van de Autoriteit Persoonsgegevens.
11. Wat doen wij om de persoonsgegevens geheim te houden?
Wij zijn verplicht om alle persoonsgegevens die we voor jou verwerken, geheim te houden voor anderen. Daarbij gaat het om de gegevens die we van jou ontvangen en/of die we zelf verzamelen om ze te verwerken zoals we in onze overeenkomst hebben afgesproken. Hierover spreken we het volgende af:
Wij staan ervoor in dat al onze medewerkers zich houden aan deze geheimhoudingsplicht. Daarbij gaat het om medewerkers in de ruimste zin van het woord, dus ook stagiair(e)s en freelancers.
Deze geheimhoudingsplicht is niet van toepassing:
als jij of iemand met rechten daartoe (zoals een beheerder of professional) uitdrukkelijk toestemming hebt gegeven om bepaalde persoonsgegevens met anderen te delen; of
als de persoon op wie de persoonsgegevens betrekking hebben (bijvoorbeeld een kandidaat) uitdrukkelijk toestemming heeft gegeven om deze gegevens met anderen te delen; of
als er een wettelijke verplichting is om bepaalde persoonsgegevens aan een andere instantie of persoon, bijvoorbeeld aan het Openbaar Ministerie te verstrekken.
Als wij gebruikmaken van de diensten van een andere partij, zorgen wij er onvoorwaardelijk voor dat deze partij schriftelijk akkoord gaat met dezelfde geheimhoudingsplicht als die we met jou hebben afgesproken.
12. Hoe gaan wij om met de rechten van de betrokkenen?
De personen op wie de persoonsgegevens betrekking hebben, bijvoorbeeld jouw bezoekers, kandidaten, medewerkers en professionals, noemen we de betrokkenen. Deze betrokkenen hebben op basis van de AVG een aantal rechten. Jij bent verplicht om aan die rechten tegemoet te komen. Indien hiervoor onze hulp noodzakelijk is, helpen we je hierbij tegen vergoeding van de redelijke kosten. Daarbij gaat het onder meer om de volgende rechten:
De betrokkenen mogen vragen welke persoonsgegevens jij van hen verwerkt en opslaat. Dit staat in artikel 15 van de AVG. Als wij een dergelijk verzoek ontvangen, sturen we dat aan jou door. Jij bent dan verplicht om deze informatie te verstrekken, binnen het kader van de wet.
De betrokkenen mogen vragen om de persoonsgegevens die jij van hen hebt opgeslagen, te corrigeren of aan te vullen. Dit staat in artikel 16 van de AVG. Als wij een dergelijk verzoek ontvangen, sturen we het aan jou door. Je bent dan mogelijk verplicht om deze gegevens te corrigeren of aan te vullen. Dit kan je bijvoorbeeld doen door gegevens te verwijderen en/of te corrigeren.
13. Wat zijn jouw verantwoordelijkheden en wie is er aansprakelijk bij schade?
Als verantwoordelijke voor de verwerking van persoonsgegevens, moet je aan een aantal eisen voldoen:
Je moet voldoen aan de wettelijke eisen die voor de verwerking van persoonsgegevens gelden. Dat betekent dat je moet nagaan of je volgens de wet het recht hebt om bepaalde persoonsgegevens vast te leggen. Dit is niet voor alle persoonsgegevens toegestaan. Zo mag je bijvoorbeeld niet zomaar een kopie van iemands paspoort of andere gevoelige (persoons)gegevens opslaan.
Je moet nagaan of de persoonsgegevens die je wilt vastleggen, voldoende beschermd worden door de beveiligingsmaatregelen. Wij hebben ons beveiligingsbeleid afgestemd op het soort gegevens dat we omschreven hebben – en met jou zijn overeengekomen – in artikel 4 van deze overeenkomst. Wil je een ander soort gegevens vastleggen, dan kunnen wij niet garanderen dat onze veiligheidsmaatregelen daarvoor voldoende zijn.
Je moet je account zo goed mogelijk beveiligen. Dit doe je door gebruik te maken van de nieuwste versie van EXENZO en iedere kandidaat, medewerker, professional en eventuele derde een eigen toegang te geven. Controleer ook regelmatig of iedereen die toegang heeft nog steeds toegang nodig heeft.
Voldoe je niet aan deze eisen en worden wij door anderen aansprakelijk gesteld voor schade die hierdoor ontstaan is? Dan stel je ons schadeloos en vrijwaar je ons voor die aansprakelijkheid.
Wij zijn alleen aansprakelijk voor schade die aan ons toegerekend kan worden. Gaat het om schade die verband houdt met de beveiliging van persoonsgegevens? Dan zijn we hier niet aansprakelijk voor als we kunnen bewijzen dat we voldoende technische en organisatorische beveiligingsmaatregelen hebben genomen, zoals omschreven in artikel 8 van deze overeenkomst. In dat geval kan deze schade ons niet toegerekend worden. Deze schade kan ons ook niet toegerekend worden als je geen extra beveiligingsmaatregelen hebt ingesteld, die we je aangeboden hebben. Zijn we wel aansprakelijk, dan is deze aansprakelijkheid beperkt. Daarvoor gelden de afspraken die staan in onze overeenkomst voor het gebruik van EXENZO.
14. Hoe gaan we om met geschillen?
Als we een geschil hebben, doen we ons best om samen met jou tot een oplossing te komen. Lukt dat niet, dan leggen we het geschil voor aan de bevoegde rechter in het arrondissement Breda of – als op basis van de wet een andere rechter bevoegd is – aan deze bevoegde rechter. Voor deze verwerkersovereenkomst geldt het Nederlandse recht. Dit geldt ook voor alle overeenkomsten en andere rechtshandelingen die uit deze overeenkomst voortvloeien of hiermee samenhangen.
15. Wat doen we als onze overeenkomsten elkaar tegenspreken?
Zit er een tegenstrijdigheid tussen deze verwerkersovereenkomst en de overeenkomst die we met je hebben gesloten voor het gebruik van EXENZO? Dan gaat deze verwerkersovereenkomst voor en geldt wat hierin staat.