Verwerkersovereenkomst (DPA)

Deze verwerkersovereenkomst (hierna de ‘DPA’) regelt de verwerking van persoonsgegevens door CVpass (hierna ‘de Verwerker’) namens de zakelijke klant die een B2B-abonnement heeft afgesloten (hierna ‘de Verwerkingsverantwoordelijke’), overeenkomstig artikel 28 van Verordening (EU) 2016/679 (AVG).

Ze vult de Algemene Gebruiksvoorwaarden B2B aan en heeft daarop voorrang bij strijdigheid met betrekking tot gegevensbescherming.

• Aard en doel: analyse van cv's, ATS-scoring, herschrijven met behulp van AI, pdf-generatie, beheer van ledenaccounts en geaggregeerde gebruiksstatistieken.
• Categorieën gegevens: identificatiegegevens (achternaam, voornaam, zakelijk e-mailadres), inhoud van cv's (loopbaan, vaardigheden, opleidingen), inhoud van geüploade vacatures, gebruiksmetadata.
• Categorieën betrokkenen: leden van de klantorganisatie (medewerkers, studenten, begeleide kandidaten).
• Duur: gedurende de volledige looptijd van het contract. Cv-bestanden worden nooit bewaard; het opgemaakte cv dat een lid exporteert en opgeslagen sollicitatiebrieven worden na 30 dagen automatisch verwijderd. Bij het einde van een betaalde toegang worden de persoonsgegevens van de omgeving volgens artikel 3 verwijderd of teruggegeven; voor een gratis proefperiode waarvoor nooit is betaald, geldt alleen de hieronder beschreven anonimisering. Voor de zekerheid wordt de omgeving bovendien 6 maanden na het einde van de toegang automatisch geanonimiseerd, ongeacht het soort toegang (gratis proefperiode, online abonnement, jaarpakket of licentie per jaargroep): haar contactpersonen en openstaande uitnodigingen worden gewist en haar logo wordt verwijderd; deze anonimisering verwijdert de omgeving, de ledenlijst en de gebruiksgeschiedenis van de leden niet. De Verwerkingsverantwoordelijke kan ook op elk moment om volledige verwijdering of teruggave vragen door te schrijven naar contact@cvpass.fr. Facturen worden 10 jaar bewaard vanwege Franse boekhoudverplichtingen.

CVpass verbindt zich ertoe:

• De gegevens uitsluitend te verwerken op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, tenzij een wettelijke verplichting anders bepaalt.
• De vertrouwelijkheid van de gegevens te waarborgen en ervoor te zorgen dat de gemachtigde personen aan een geheimhoudingsplicht zijn gebonden.
• De technische en organisatorische maatregelen te treffen die in artikel 6 zijn beschreven.
• De Verwerkingsverantwoordelijke bij te staan bij de naleving van zijn verplichtingen (beantwoording van verzoeken van betrokkenen, gegevensbeschermingseffectbeoordelingen, meldingen van inbreuken).
• 6 maanden na het einde van de toegang, ongeacht het soort toegang (gratis proefperiode, online abonnement, jaarpakket of licentie per jaargroep), de omgeving, als die nog bestaat, automatisch te anonimiseren, dat wil zeggen haar contactpersonen en openstaande uitnodigingen te wissen en haar logo te verwijderen; dit eerder te doen op schriftelijk verzoek van de Verwerkingsverantwoordelijke aan contact@cvpass.fr. Deze anonimisering verwijdert de omgeving, de ledenlijst en de gebruiksgeschiedenis van de leden niet; voor hun verwijdering geldt het volgende punt.
• Bij het einde van de dienst, dat wil zeggen bij het einde van een betaalde toegang (online abonnement, jaarpakket of licentie per jaargroep), en op elk moment op schriftelijk verzoek van de Verwerkingsverantwoordelijke aan contact@cvpass.fr, alle persoonsgegevens die namens de Verwerkingsverantwoordelijke worden verwerkt, met name contactpersonen, uitnodigingen, accounts van de leden en hun gebruiksgeschiedenis, te verwijderen of, naar keuze van de Verwerkingsverantwoordelijke, aan de Verwerkingsverantwoordelijke terug te geven en daarna de kopieën te wissen, en dit binnen 30 dagen, tenzij een wettelijke bewaarplicht geldt (facturen). Bij het einde van de dienst vraagt CVpass de Verwerkingsverantwoordelijke om zijn keuze; zonder antwoord worden de gegevens uiterlijk 30 dagen na het einde van de dienst verwijderd. Het einde van een gratis proefperiode waarvoor nooit is betaald, is geen einde van de dienst: dan geldt alleen de anonimisering van het vorige punt, tenzij schriftelijk om verwijdering of teruggave wordt gevraagd. Een lid dat CVpass ook privé gebruikt, behoudt zijn account, waarop dan het privacybeleid van CVpass van toepassing is. Eventuele back-ups verlopen daarna vanzelf binnen maximaal 30 dagen, zoals bepaald in artikel 6.

De Verwerkingsverantwoordelijke geeft CVpass toestemming de volgende subverwerkers in te schakelen:

• Vercel Inc. (Verenigde Staten, DPF-kader) — hosting van de applicatie, distributie en serverless functies.
• Supabase Inc. (Duitsland, Frankfurt) — PostgreSQL-database en bestandsopslag.
• Clerk Inc. (Verenigde Staten, DPF-kader) — authenticatie en beheer van organisaties.
• OpenAI, LLC (Verenigde Staten, DPF-kader) — semantische analyse en herschrijven met AI. Er worden geen gegevens gebruikt voor training; bewaring bij OpenAI maximaal 30 dagen (misbruikmonitoring).
• Stripe Inc. (Verenigde Staten / Ierland) — betalingsverwerking en facturatie.
• Brevo (voorheen Sendinblue) (Frankrijk) — verzending van transactionele e-mails.
• PostHog Inc. (Verenigde Staten, gegevens gehost in de Europese Unie, Frankfurt, hoogstens 12 maanden bewaard) — bereikmeting en gebruiksgebeurtenissen: account- en omgevings-ID's, rol en gebeurtenissen, zonder e-mailadres of naam sinds 9 november 2026; bekeken pagina's en klikken alleen als het lid meetcookies accepteert.

Elke wijziging van deze lijst wordt de Verwerkingsverantwoordelijke 30 dagen van tevoren per e-mail meegedeeld, zodat deze om gegronde redenen bezwaar kan maken.

Doorgiften van gegevens naar de Verenigde Staten vallen onder de standaardcontractbepalingen (SCC's) van de Europese Commissie en het Data Privacy Framework wanneer de subverwerker daaronder is gecertificeerd.

• TLS 1.2+-versleuteling tijdens transport en versleuteling in rust van de database.
• Strikte scheiding van gegevens per organisatie (org_id).
• Sterke meervoudige authenticatie beschikbaar voor beheerders.
• Logging van toegang door beheerders en toegang uitsluitend via een versleutelde tunnel.
• Eventuele back-ups van de database, beheerd door Supabase, worden maximaal 30 dagen bewaard.
• Cv- of vacaturegegevens die naar OpenAI worden verzonden, worden niet gebruikt voor training en door OpenAI binnen maximaal 30 dagen verwijderd.

CVpass meldt de Verwerkingsverantwoordelijke elke inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en uiterlijk 48 uur nadat CVpass er kennis van heeft genomen, per e-mail aan de aangewezen contactpersonen van de organisatie.

De Verwerkingsverantwoordelijke kan eenmaal per jaar en met een redelijke aankondigingstermijn een auditrapport of de documentatie van de beveiligingsmaatregelen opvragen. Een audit ter plaatse is mogelijk op kosten van de Verwerkingsverantwoordelijke, met inachtneming van de vertrouwelijkheid jegens de andere klanten.

CVpass stelt de Verwerkingsverantwoordelijke de tools ter beschikking om verzoeken van betrokkenen te beantwoorden (inzage, rectificatie, wissing, overdraagbaarheid, bezwaar). Verzoeken die CVpass rechtstreeks ontvangt, worden binnen 5 werkdagen doorgestuurd naar de Verwerkingsverantwoordelijke.

Functionaris voor gegevensbescherming: dpo@cvpass.fr.

Deze DPA wordt standaard aanvaard bij het afsluiten van een B2B-abonnement. Een door beide partijen ondertekende versie kan op verzoek worden verstrekt via legal@cvpass.fr.