Verwerkersovereenkomst
Versie 2025.3 | Bijlage bij de Hoofdovereenkomst
Verwerkersovereenkomst
Deze verwerkersovereenkomst ("DPA") regelt alle verwerking van persoonsgegevens die Selection Lab uitvoert in het kader van haar assessment-, selectie- en recruitmenttechnologie, in overeenstemming met artikel 28 lid 3 van de Algemene Verordening Gegevensbescherming ("AVG").
Onderdeel van de overeenkomst, geen aparte ondertekening nodig
Deze DPA is als bijlage gevoegd bij en vormt een integraal onderdeel van de overeenkomst(en) tussen Partijen op grond waarvan Selection Lab haar diensten levert (de "Hoofdovereenkomst"). Door de Hoofdovereenkomst te ondertekenen gaat elke Partij ook akkoord met deze DPA en gaat zij deze aan. Een aparte ondertekening van deze DPA is niet nodig. Deze DPA treedt in werking op de ingangsdatum van de Hoofdovereenkomst.
Partijen
Deze DPA geldt tussen:
- The Selection Lab B.V., handelend onder de naam Selection Lab, een besloten vennootschap met beperkte aansprakelijkheid ingeschreven in Nederland (KvK-nummer 71341730), met statutaire zetel aan de Sint Pieterspoortsteeg 19, 1012 HM Amsterdam ("Selection Lab" of "Verwerker"); en
- de partij die in de Hoofdovereenkomst is aangeduid als klant ("Klant" of "Verwerkingsverantwoordelijke"), waarvan de bedrijfsgegevens, statutaire zetel en inschrijvingsnummer zijn vermeld in de Hoofdovereenkomst.
Hierna gezamenlijk aangeduid als "Partijen" en afzonderlijk als "Partij".
Overwegingen
A.
Partijen hebben de Hoofdovereenkomst gesloten, op grond waarvan Selection Lab diensten levert die de verwerking van persoonsgegevens omvatten.
B.
In het kader van de AVG treedt de Klant op als Verwerkingsverantwoordelijke en Selection Lab als Verwerker. Daarnaast treedt Selection Lab op als zelfstandig Verwerkingsverantwoordelijke voor haar eigen assessmentinhoud, psychometrische methodologie en algoritmes, zoals nader omschreven in Bijlage 1 (model met gedeelde verantwoordelijkheid).
C.
Partijen wensen hun respectieve rechten en verplichtingen met betrekking tot deze verwerking vast te leggen in deze DPA. De specifieke verwerkingsdetails staan omschreven in Bijlage 1.
De begrippen "persoonsgegevens", "verwerking", "betrokkene", "verwerkingsverantwoordelijke" en "verwerker" hebben de betekenis die daaraan in de AVG wordt gegeven. Overige begrippen met een hoofdletter hebben de hieronder toegekende betekenis:
Datalek
Elke inbreuk op de beveiliging die leidt tot de onopzettelijke of onrechtmatige vernietiging, het verlies, de wijziging, de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot persoonsgegevens.
EU-standaardcontractbepalingen
De standaardbepalingen van de Europese Commissie voor de doorgifte van persoonsgegevens naar derde landen op grond van artikel 46 lid 2 onder c en d AVG.
Hoofdovereenkomst
De overeenkomst(en) tussen Partijen op grond waarvan Selection Lab haar diensten levert en waaraan deze DPA als bijlage is gevoegd.
Privacywetgeving
Alle toepasselijke wetgeving op het gebied van gegevensbescherming en privacy, waaronder de AVG en de Uitvoeringswet AVG (UAVG).
Subverwerker
Elke derde partij die door de Verwerker wordt ingeschakeld om persoonsgegevens te verwerken ten behoeve van de Verwerkingsverantwoordelijke.
Artikel 2.
Algemene beginselen en opname in de overeenkomst
2.1
Elke Partij houdt zich aan alle toepasselijke Privacywetgeving en verwerkt persoonsgegevens uitsluitend voor legitieme bedrijfsdoeleinden.
2.2
Deze DPA vormt een integraal onderdeel van de Hoofdovereenkomst. Bij tegenstrijdigheid tussen deze DPA en de Hoofdovereenkomst met betrekking tot de verwerking van persoonsgegevens prevaleert deze DPA.
2.3
Aanvaarding van de Hoofdovereenkomst (door ondertekening of op een andere in de Hoofdovereenkomst voorziene wijze van aanvaarding) geldt als aanvaarding van deze DPA door beide Partijen. Een aparte ondertekening van deze DPA is niet nodig om deze geldig en bindend te maken.
Artikel 3.
Technische en organisatorische maatregelen
3.1
De Verwerker onderhoudt passende en controleerbare technische en organisatorische maatregelen ("TOM's") om de beveiliging, integriteit en beschikbaarheid van persoonsgegevens te waarborgen.
3.2
Deze maatregelen omvatten ten minste geheimhoudingsverplichtingen, rolgebaseerde toegangscontrole, encryptie, netwerkbeveiliging, logging en incidentrespons. Een samenvatting staat in Bijlage 1, onderdeel 5.
3.3
De Verwerker evalueert en verbetert haar TOM's periodiek om blijvend aan de AVG te voldoen.
Artikel 4.
Verwerkingsinstructies en Subverwerkers
4.1
De Verwerker verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Verwerkingsverantwoordelijke, tenzij de wet anders vereist.
4.2
De Verwerker informeert de Verwerkingsverantwoordelijke onverwijld als een instructie naar haar oordeel in strijd is met de Privacywetgeving.
4.3
Subverwerkers mogen uitsluitend worden ingeschakeld met voorafgaande schriftelijke goedkeuring van de Verwerkingsverantwoordelijke. De Subverwerkers die zijn opgenomen in Bijlage 1, onderdeel 4 worden bij aanvaarding van de Hoofdovereenkomst geacht te zijn goedgekeurd door de Verwerkingsverantwoordelijke.
4.4
De Verwerker informeert de Verwerkingsverantwoordelijke voorafgaand aan elke voorgenomen toevoeging of vervanging van Subverwerkers en geeft de Verwerkingsverantwoordelijke de gelegenheid om op redelijke grond bezwaar te maken.
4.5
De Verwerker blijft volledig aansprakelijk voor de prestaties van haar Subverwerkers.
Artikel 5.
Internationale gegevensoverdrachten
Er worden geen persoonsgegevens buiten de EER doorgegeven, tenzij de Verwerkingsverantwoordelijke daarvoor schriftelijk toestemming heeft gegeven en volledig wordt voldaan aan hoofdstuk V van de AVG, waaronder, voor zover van toepassing, de EU-standaardcontractbepalingen.
Artikel 6.
Bijstand en DPIA
De Verwerker staat de Verwerkingsverantwoordelijke bij bij het uitvoeren van gegevensbeschermingseffectbeoordelingen en bij overleg met toezichthoudende autoriteiten wanneer dat nodig is.
De Verwerkingsverantwoordelijke mag de naleving van deze DPA door de Verwerker eenmaal per jaar auditen, of bij een redelijk vermoeden van niet-naleving. De Verwerker werkt volledig mee en verstrekt alle noodzakelijke bewijsstukken.
Artikel 8.
Toegang voor toezichthoudende autoriteiten
Partijen werken volledig mee met bevoegde toezichthoudende autoriteiten en verlenen toegang tot systemen en documentatie voor zover wettelijk vereist.
9.1
De Verwerker meldt elk Datalek binnen 24 uur na ontdekking aan de Verwerkingsverantwoordelijke.
9.2
De melding bevat alle relevante gegevens, waaronder de aard van het lek, de betrokken gegevens, de mogelijke gevolgen en de herstelmaatregelen.
9.3
De Verwerker neemt over een Datalek geen contact op met betrokkenen of autoriteiten zonder voorafgaande goedkeuring van de Verwerkingsverantwoordelijke, tenzij dit wettelijk verplicht is.
Artikel 10.
Rechten van betrokkenen
De Verwerker staat de Verwerkingsverantwoordelijke bij bij het beantwoorden van verzoeken van betrokkenen op grond van de artikelen 15 tot en met 22 AVG (inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar).
Artikel 11.
Bewaring en verwijdering
Bij beëindiging van de Hoofdovereenkomst retourneert of verwijdert de Verwerker alle persoonsgegevens volgens de instructie van de Verwerkingsverantwoordelijke, tenzij bewaring wettelijk verplicht is.
Artikel 12.
Aansprakelijkheid en verzekering
Elke Partij is verantwoordelijk voor haar eigen handelen en nalaten. De Verwerker houdt een adequate verzekering aan en is aansprakelijk tot de grenzen die zijn vastgelegd in de Hoofdovereenkomst.
Deze DPA treedt in werking op de ingangsdatum van de Hoofdovereenkomst en blijft van kracht zolang de Verwerker persoonsgegevens verwerkt ten behoeve van de Verwerkingsverantwoordelijke, ook na beëindiging van de Hoofdovereenkomst voor zover die verwerking doorloopt.
Artikel 14.
Toepasselijk recht en bevoegde rechter
Op deze DPA is Nederlands recht van toepassing. Geschillen worden uitsluitend voorgelegd aan de bevoegde rechter te Rotterdam, Nederland.
Bijlage 1
Omschrijving van de verwerking
1. Contactgegevens
- Verwerkingsverantwoordelijke: de contactpersoon die door de Klant is aangewezen in de Hoofdovereenkomst of, bij gebreke daarvan, de ondertekenaar van de Hoofdovereenkomst namens de Klant.
- Verwerker: Beau Mosterd, Privacy Lead, [email protected].
2. Aard en doel van de verwerking
De Verwerker nodigt namens de Klant kandidaten uit om een online assessment te maken dat wordt gebruikt voor recruitment- of ontwikkeldoeleinden.
- Categorieën betrokkenen: sollicitanten van de Klant.
- Categorieën persoonsgegevens: naam, e-mailadres, (optioneel) telefoonnummer, assessmentgegevens (psychometrische antwoorden en resultaten).
- Doel: de Klant in staat stellen de geschiktheid van kandidaten te beoordelen voor een dienstverband of ontwikkelprogramma.
3. Verduidelijking van de rollen (gedeelde verantwoordelijkheid)
Voor de uitnodiging, de uitvoering en de verwerking van kandidaatgegevens treedt Selection Lab op als Verwerker namens de Klant.
Voor de assessmentinhoud, de psychometrische algoritmes en de analytische resultaten die met haar eigen modellen worden gegenereerd, treedt Selection Lab op als zelfstandig Verwerkingsverantwoordelijke in overeenstemming met de AVG.
Selection Lab bepaalt het analytische kader, de wetenschappelijke methodologie en de verwerkingslogica en mag geaggregeerde en geanonimiseerde gegevens gebruiken om haar diensten te verbeteren.
4. Goedgekeurde Subverwerkers
De volgende Subverwerkers zijn bij aanvaarding van de Hoofdovereenkomst goedgekeurd door de Verwerkingsverantwoordelijke. Alle Subverwerkers verwerken persoonsgegevens binnen de EER. De actuele lijst is ook gepubliceerd in de privacyverklaring van Selection Lab op www.selectionlab.com/pages/privacy.
Brevo (SendinBlue)
Frankrijk
E-mailverzending.
360dialog / Meta
EU
WhatsApp-berichten.
Auth0
Duitsland
Authenticatie en inlogbeheer.
HubSpot
Duitsland / Ierland
Communicatieplatform en klantenservice.
Amazon Web Services
Duitsland
Databaseopslag.
Redis
EU
Tijdelijke gegevensopslag.
CloudAMQP
EU
Berichtverwerking.
Google Workspace
Europa
E-mail- en bestandsopslag.
Pendo
Europa
Gebruikersstatistieken en analyse.
Sentry
Duitsland / EU
Applicatielogging.
Chatbase, Chatwith, VideoAsk
EU
Chat- en formulierverwerking.
Alleen van toepassing op Klanten die SmartChat gebruiken (AI-chatscreening):
OpenAI
Verwerking binnen de EER, via een PII-gateway
Taalmodelverwerking voor AI-chatscreening (SmartChat). Persoonsidentificatoren worden vóór verwerking gefilterd door een PII-gateway.
De Subverwerker OpenAI is uitsluitend van toepassing wanneer de Klant SmartChat heeft afgenomen onder de Hoofdovereenkomst. Voor Klanten zonder SmartChat worden geen persoonsgegevens verwerkt door OpenAI.
5. Beveiligingsmaatregelen
Selection Lab onderhoudt beveiliging in lijn met de ISO 27001-normen, waaronder:
- Toegangscontrole en authenticatie;
- Encryptie van gegevens in rust en tijdens transport;
- Logging en monitoring;
- Incidentrespons en procedures voor het beheer van datalekken;
- Veilige hosting binnen de EER;
- Jaarlijkse externe audits (ISAE 3000 type II of gelijkwaardig).
Documentbeheer
Deze DPA is versie 2025.3, opgesteld door The Selection Lab B.V., Amsterdam, Nederland. Contact: [email protected] | www.selectionlab.com. Wijzigingen in deze DPA vinden plaats volgens de wijzigingsbepalingen van de Hoofdovereenkomst.
