Beveiligingsmaatregelen

Hoe Selection Lab (bijzondere) persoonsgegevens en de privacy van deelnemers beschermt.

Referentie: SEC-MEAS-01
Organisatie: The Selection Lab B.V.
Versie: Versie 2026.9
Adres: Sint Pieterspoortsteeg 19, 1012 HM Amsterdam
Contact: [email protected] · www.selectionlab.com · +31 (0)20 - 2443212

Dit document beschrijft de beveiligingsmaatregelen die The Selection Lab B.V. heeft getroffen om de veiligheid van (bijzondere) persoonsgegevens en de privacy van deelnemers te waarborgen.

1 Algemene beschermingsmaatregelen

1. Pseudonimisering van de persoonsgegevens van medewerkers. Zie het pseudonimiseringsprotocol voor de details.
2. Anonimisering van de persoonsgegevens van medewerkers voordat die worden gebruikt om het algemene algoritme te verbeteren.
3. Geautomatiseerde verwijdering van bijzondere categorieën persoonsgegevens uit Typeform, waarvan de antwoordopslag in de Verenigde Staten staat. De unieke persoonsgegevens staan op servers van Amazon Web Services in Frankfurt, met de back-upkopie in Stockholm; de rapportagegegevens achter de interne sales- en financedashboards staan in Ierland (Athena) en in Frankfurt en Ierland (QuickSight). De diensten die gegevens buiten de EER houden, en de waarborgen, staan in de DPIA §12.1.
4. Multifactorauthenticatie is vereist voor toegang tot alle databases en de mailserver.
5. Verwijdering van persoonsgegevens (naam en e-mailadres) bij derden, zoals, maar niet beperkt tot, Typeform.
6. Geheimhoudingsverplichtingen voor iedereen die met vertrouwelijke gegevens in aanraking kan komen: artikel 12 van de arbeidsovereenkomst voor medewerkers, en een afzonderlijke geheimhoudingsovereenkomst voor opdrachtnemers en voor stagiairs zonder gelijkwaardige clausule.
7. Binnen de organisatie heeft slechts een zeer beperkt aantal personen toegang tot bijzondere categorieën persoonsgegevens.
8. Iedereen met toegang tot unieke persoonsgegevens gebruikt software (1Password) om zijn of haar wachtwoorden te beschermen.
9. Met de verwerkers van persoonsgegevens zijn verwerkersovereenkomsten van kracht; het leveranciersregister legt per verwerker de grondslag vast.
10. De bescherming van de privacy van medewerkers en kandidaten is in alle overeenkomsten uitdrukkelijk juridisch vastgelegd.

2 Protocol voor het pseudonimiseren van medewerkersgegevens

Doel van pseudonimisering

De persoonsgegevens van medewerkers van een organisatie beschermen zonder de mogelijkheid te verliezen om aanvullende gegevens van de organisatie (zoals of iemand als talent is aangemerkt) aan de medewerkersgegevens toe te voegen.

Stappenplan pseudonimisering

1. Een maand nadat het fit-algoritme is opgeleverd, worden de namen van de medewerkers in de database vervangen door 'anonymized'. De e-mailadressen worden uit alle databases verwijderd (waaronder, maar niet beperkt tot, AWS en Typeform).
2. Tegelijkertijd wordt voor de organisatie een bestand gemaakt waarin elke naam en elk e-mailadres is gekoppeld aan een unieke URL die als kenmerk dient. Dit bestand, ook wel de 'sleutel' genoemd, wordt aan de organisatie overgedragen. De personen van wie gegevens zijn verwerkt, beschikken over dezelfde URL, omdat die eerder per e-mail is verstrekt.
3. Selection Lab verwijdert deze sleutel binnen een week nadat die aan de organisatie is overgedragen. Selection Lab mag onder geen enkele omstandigheid opnieuw toegang krijgen tot deze sleutel. Zo is gewaarborgd dat Selection Lab gegevens niet tot een individu kan herleiden.
4. Wil iemand zijn of haar gegevens laten verwijderen, dan kan hij of zij verwijzen naar de unieke URL en het bijbehorende wachtwoord. Selection Lab verwijdert dan alle aan deze URL gekoppelde gegevens uit de database.

3 Protocol ter voorkoming van deelname onder dwang

Maatregelen per type gebruiker om de vrijwillige toestemming van deelnemers voor de verwerking van bijzondere categorieën persoonsgegevens te beschermen.

Medewerkers

1. Er wordt uitgebreid gecommuniceerd over het vrijwillige karakter van deelname.
2. Selection Lab deelt onder geen enkele omstandigheid individuele gegevens met de organisatie.
3. Er wordt nooit bekendgemaakt wie de vragenlijst wel en niet heeft ingevuld.
4. Gegevens worden uitsluitend op geaggregeerd niveau met de organisatie gedeeld.

Kandidaten

1. Kandidaten kunnen ervoor kiezen het assessment niet te maken of hun resultaten niet te delen.
2. Na het assessment krijgen kandidaten een nadere toelichting, en wordt uitdrukkelijke toestemming gevraagd om de resultaten te delen.
3. Organisaties waarmee wij samenwerken, worden geïnformeerd dat kandidaten vrij kunnen kiezen of zij aan het assessment deelnemen en/of hun resultaten delen. Daarnaast mogen kandidaten geen nadeel ondervinden van de keuze om niet deel te nemen of hun resultaten niet te delen.

Werkzoekenden

1. Deelname is voor studenten volledig vrijwillig, omdat er geen arbeidsrelatie is, en zij moeten er zelf voor kiezen deel te nemen.
2. Studenten krijgen uitgebreide informatie over hun rechten, waaronder de mogelijkheid om hun toestemming op elk moment in het proces in te trekken.

4 Neutraliteit van het selectie-algoritme

Om ervoor te zorgen dat ons selectie-algoritme neutraal en vrij van bias blijft, nemen wij de volgende maatregelen:

1. Wij gebruiken gevalideerde wetenschappelijke persoonlijkheidsvragenlijsten zonder bias.
2. Niet-relevante persoonsgegevens zoals geslacht, leeftijd, etniciteit en religie worden niet verwerkt bij het berekenen van de fit-score van een kandidaat met een organisatie.
3. Wij gebruiken een transparant algoritme: het is altijd na te gaan waarom een kandidaat een bepaalde score krijgt (geen black box).
4. Wij analyseren de prestaties van medewerkers over verschillende afdelingen, met de nadruk op karaktereigenschappen, motivaties en culturele voorkeuren. Deze analyse helpt ons kandidaten te herkennen van wie de eigenschappen aansluiten bij succesvolle uitkomsten in specifieke organisaties, en voorkomt zo dat menselijke vooroordelen worden geïnstitutionaliseerd.

Voorbeeld
Bestaat een organisatie overwegend uit witte mannen, dan komen zij zowel in de gemiddeld als in de best presterende groepen voor. Factoren als etniciteit en geslacht kunnen daarom geen betrouwbare voorspellers zijn van bovengemiddelde prestaties.

5 Protocol bewaartermijnen

Om te blijven voldoen aan de privacywetgeving en een juiste bewaring van persoonsgegevens te waarborgen, worden de volgende stappen elke zes maanden uitgevoerd, in april en in de reviewweek van oktober:

1. De privacyverklaring nalopen op volledigheid met betrekking tot de verwerking van persoonsgegevens.
2. Vaststellen welke persoonsgegevens moeten worden verwijderd.
3. De vastgestelde persoonsgegevens verwijderen.

6 Versleuteling van gegevens

Wij hechten veel waarde aan de beveiliging van onze gegevens door versleuteling, zowel tijdens transport als in rust. Hieronder staat per partner hoe versleuteling is ingericht:

Referentiedocumenten