Verwerkersovereenkomst

Concept, nog niet juridisch nagekeken. Deze tekst is een eerste versie in gewone taal, geschreven naar artikel 28 van de AVG. Voor hij geldt, kijkt een jurist hem na; tot dan bindt hij niemand. Alleen in het Nederlands; Engels en Frans volgen na dat nazicht.

Deze overeenkomst hoort bij de algemene voorwaarden en geldt tussen het bedrijf met een bedrijfsaccount (de verwerkingsverantwoordelijke, hierna: jullie) en Talitha Holding (de verwerker, hierna: Avodara). Ze regelt wat Avodara doet met de persoonsgegevens die jullie in het platform zetten.

1. Wie is wat

Voor het personeelsbestand, de notities per medewerker en de meldingen van medewerkers aan jullie HR-team zijn jullie de verwerkingsverantwoordelijke: jullie beslissen welke gegevens erin komen en waarvoor. Avodara is de verwerker: wij bewaren en tonen die gegevens, in opdracht van jullie, en doen er niets anders mee.

Voor de gegevens die een kandidaat zelf in zijn eigen profiel zet (profiel, foto's, diploma's, persoonlijkheidstest) is Avodara zelf verantwoordelijke; dat regelt de privacyverklaring, niet deze overeenkomst.

2. Welke gegevens, van wie, waarvoor

Gegevens: naam, functie, e-mailadres, telefoonnummer, opleiding, voordelen, verlofsaldo en verlofregels, proefperiode- en contractdatums, startdatum, geboortedatum, de fase in het personeelsbestand (instroom, in dienst, doorstroom, uitstroom), jullie eigen notities, een eventueel exitgesprek, en de koppeling met een kandidaatprofiel als de medewerker die zelf legde.

Betrokkenen: jullie medewerkers, kandidaten in jullie wervingsproces, en teamleden die het account gebruiken.

Doel: personeelsadministratie en werving door jullie, in het platform. Geen ander doel.

3. Wat Avodara belooft

Avodara verwerkt de gegevens alleen op jullie instructie, en die instructie is het gebruik van het platform zoals het werkt. Avodara leest de gegevens niet mee, verkoopt ze niet, en gebruikt ze niet om iets te trainen of te profileren. Wie bij Avodara toegang heeft tot de systemen, is gebonden aan vertrouwelijkheid.

Avodara helpt jullie, binnen wat het platform kan, om te antwoorden op verzoeken van betrokkenen (inzage, verbetering, wissen). Het meeste kunnen jullie zelf: een medewerkersdossier is door jullie te bewerken en te verwijderen.

4. Beveiliging

Gegevens staan op Google Cloud in Europa (regio eur3), versleuteld in rust en onderweg. Toegang loopt via regels op de databank die per document nakijken wie wat mag: een teamlid ziet alleen zijn eigen bedrijf, een kandidaat alleen zichzelf. Elke mislukte aanmeldpoging en elke geweigerde toegang wordt geregistreerd en is zichtbaar voor de beheerder van Avodara, die ze geregeld naloopt. Elke nacht wordt een back-up gemaakt. Beheerdersacties staan in een onwijzigbaar logboek.

5. Subverwerkers

Avodara gebruikt Google Cloud (Firebase: databank, opslag, aanmelding, functies) als hosting, in Europa. Voor de diplomacontrole leest een taalmodel van Anthropic de scan van een diploma dat een kandidaat zelf indient; dat is een verwerking onder de privacyverklaring van de kandidaat, niet onder deze overeenkomst, en er gaat nooit iets uit jullie personeelsbestand naartoe. Komt er een nieuwe subverwerker bij, dan laten we dat minstens dertig dagen vooraf weten, met de mogelijkheid om bezwaar te maken.

6. Datalekken

Als Avodara een inbreuk vaststelt die jullie gegevens raakt, laten we het jullie weten zonder onnodige vertraging en uiterlijk binnen 48 uur na vaststelling, met wat er gebeurd is, welke gegevens het raakt, en wat we eraan doen. Jullie beslissen zelf over een melding aan de toezichthouder en aan betrokkenen; wij leveren wat jullie daarvoor nodig hebben.

7. Bewaren en wissen

Gegevens blijven staan zolang jullie account bestaat. Verwijderen jullie een medewerkersdossier, dan is het weg. Verwijderen jullie het hele bedrijf, dan wist Avodara automatisch het personeelsbestand, het team, uitnodigingen, vacatures en de bedrijfspagina. Back-ups worden na een vaste termijn overschreven; die termijn wordt vastgelegd samen met de bewaartermijnen per collectie (zie STAPPENPLAN, fase 7) en staat hier zodra ze vaststaat.

8. Controle

Jullie mogen vragen hoe Avodara deze afspraken naleeft. We antwoorden met de beschrijving van de maatregelen hierboven en met de relevante uittreksels uit ons logboek. Een audit ter plaatse is mogelijk na afspraak, hoogstens één keer per jaar, tenzij een inbreuk aanleiding geeft tot meer.

9. Einde

Deze overeenkomst eindigt samen met het bedrijfsaccount. Daarna bewaart Avodara niets meer van jullie personeelsgegevens, behalve wat de wet ons verplicht te bewaren.

Contact

Vragen over deze overeenkomst: hulp@avodara.com. Zie ook de privacyverklaring en de algemene voorwaarden.