AVG-naleving en beveiliging
Alles wat je FG moet weten voordat je tekent
CVpass is gebouwd om de due diligence van de FG (functionaris voor gegevensbescherming) van een openbare school of een adviesbureau te doorstaan. Hosting in de EU, ondertekenbare DPA, cv-bestanden nooit bewaard, strikte scheiding per organisatie. Volledige documentatie hieronder.
Zes concrete toezeggingen
Hosting in de Europese Unie
Database en bestandsopslag gehost bij Supabase (regio Frankfurt, Duitsland). Geen klantgegevens buiten de EU voor de primaire opslag.
Ondertekenbare DPA volgens artikel 28
Verwerkersovereenkomst conform artikel 28 van de AVG, standaard geaccepteerd bij het afsluiten van een B2B-abonnement. Een door beide partijen ondertekende versie is op aanvraag beschikbaar.
Anonimisering na 6 maanden
Voor de zekerheid wordt elke omgeving die nog bestaat 6 maanden na het einde van haar toegang geanonimiseerd, ongeacht het soort toegang (gratis proefperiode, online abonnement, jaarpakket of licentie per jaargroep): contactpersonen en openstaande uitnodigingen worden gewist, en het logo wordt uit de omgeving gehaald. Deze anonimisering verwijdert de omgeving en de ledenlijst niet: bij het einde van een betaalde toegang, en op elk moment op verzoek aan contact@cvpass.fr, worden alle persoonsgegevens van de omgeving en haar leden binnen 30 dagen verwijderd of teruggegeven. Cv-bestanden worden nooit bewaard, en het opgemaakte cv dat een gebruiker exporteert, wordt na 30 dagen verwijderd, net als opgeslagen brieven.
Scheiding per organisatie
Elke klantorganisatie heeft een eigen org_id. Geen onderlinge zichtbaarheid tussen organisaties. Row Level Security-beleid op databaseniveau.
End-to-end-versleuteling
TLS 1.2+ tijdens transport, AES-256 in rust in de database. SSL-certificaten worden automatisch vernieuwd. Eventuele back-ups van de database, beheerd door Supabase, worden maximaal 30 dagen bewaard.
AI die niet traint op je gegevens
We gebruiken de API van OpenAI: verzonden gegevens worden niet gebruikt om de modellen te trainen, en OpenAI bewaart ze maximaal 30 dagen (misbruikmonitoring) voordat ze worden verwijderd.
Subverwerkers en doeleinden
Volledige lijst van subverwerkers en hun doeleinden. Elke wijziging wordt 30 dagen van tevoren per e-mail gemeld.
| Subverwerker | Regio |
|---|---|
| Vercel Inc. | Verenigde Staten (DPF) |
| Supabase Inc. | Duitsland (EU) |
| Clerk Inc. | Verenigde Staten (DPF) |
| OpenAI, LLC | Verenigde Staten (DPF) |
| Stripe Inc. | Verenigde Staten / Ierland |
| Brevo (Sendinblue) | Frankrijk (EU) |
Rechten van betrokkenen
CVpass stelt de verwerkingsverantwoordelijke de tools ter beschikking om verzoeken van betrokkenen te beantwoorden. Verzoeken die CVpass rechtstreeks ontvangt, worden binnen 5 werkdagen doorgestuurd.
- Recht op inzage in de gegevens
- Recht op rectificatie
- Recht op gegevenswissing
- Recht op overdraagbaarheid
- Recht van bezwaar
- Recht op beperking van de verwerking
FAQ
Meest gestelde vragen van FG's
De antwoorden op de 5 vragen die functionarissen voor gegevensbescherming ons als eerste stellen bij een audit vóór ondertekening.
Waar worden de gegevens opgeslagen? Blijven ze in de Europese Unie?
De gegevens in de database (organisaties, leden, gebruiksmetadata zoals scores en, maximaal 30 dagen, geëxporteerde opgemaakte cv's en opgeslagen brieven) worden opgeslagen bij Supabase, regio Frankfurt (Duitsland, EU). Cv-bestanden worden nooit opgeslagen. Geen replicatie buiten de EU. De enige doorgiften naar de Verenigde Staten betreffen subverwerkers (Vercel voor front-endhosting, Clerk voor authenticatie, OpenAI voor de AI), allemaal gecertificeerd onder het DPF (Data Privacy Framework) en aanvullend gedekt door SCC's (standaardcontractbepalingen).
Kan de DPA door beide partijen worden ondertekend of geldt hij zoals hij is?
Allebei. De DPA wordt stilzwijgend geaccepteerd bij het afsluiten van een B2B-abonnement (tekst op /b2b/dpa). Organisaties die een ondertekening door beide partijen willen, mailen naar legal@cvpass.fr: we sturen binnen 48 werkuren een pdf terug, te ondertekenen via DocuSign of op papier, afhankelijk van je eisen.
Welk anonimiseringsbeleid geldt na afloop van het contract?
Cv-bestanden worden nooit bewaard, en hun tekst blijft niet op onze servers, behalve in het opgemaakte cv dat een gebruiker exporteert en in de sollicitatiebrieven die hij opslaat: beide worden na 30 dagen automatisch verwijderd. Voor de zekerheid wordt elke omgeving die nog bestaat 6 maanden na het einde van haar toegang automatisch geanonimiseerd, ongeacht het soort toegang (gratis proefperiode, online abonnement, jaarpakket of licentie per jaargroep): contactpersonen en openstaande uitnodigingen worden gewist, en het logo wordt uit de omgeving gehaald. Deze anonimisering verwijdert de omgeving en de ledenlijst niet: bij het einde van een betaalde toegang, en op elk moment op verzoek aan contact@cvpass.fr, worden alle persoonsgegevens van de omgeving en haar leden binnen 30 dagen verwijderd of teruggegeven. Facturen worden 10 jaar bewaard vanwege Franse boekhoudverplichtingen.
Wat doet OpenAI met onze gegevens wanneer de AI een cv analyseert?
OpenAI gebruikt ze niet om zijn modellen te trainen. Volgens de voorwaarden van de OpenAI-API worden verzonden gegevens maximaal 30 dagen bewaard voor misbruikmonitoring en daarna verwijderd. Vastgelegd in onze DPA volgens artikel 28.
Binnen welke termijn wordt een datalek gemeld?
Uiterlijk 48 uur na kennisname, per e-mail aan de aangewezen contactpersonen van de klantorganisatie, conform artikel 33 van de AVG. De FG van CVpass (dpo@cvpass.fr) coördineert de procedure, inclusief de melding aan de CNIL (de Franse privacytoezichthouder) indien nodig.
Een specifieke vraag over de AVG?
Onze functionaris voor gegevensbescherming antwoordt binnen 48 werkuren. Jaarlijkse documentaudit beschikbaar voor klanten met een contract.