Verwerkersovereenkomst

Verwerking van persoonsgegevens
Bijlage bij de hoofdovereenkomst
Verwerkersovereenkomst op grond van artikel 28 lid 3 AVG

Referentie: PRIV-DPA-01
Organisatie: The Selection Lab B.V.
Versie / periode: Versie 2026.9 · september 2026
Adres: Sint Pieterspoortsteeg 19, 1012 HM Amsterdam
Functionaris voor gegevensbescherming: Ondřej Sloup (onafhankelijk)
KvK-nummer: 71341730
Contact: [email protected]

Deze verwerkersovereenkomst ("Verwerkersovereenkomst") regelt alle verwerking van persoonsgegevens die Selection Lab verricht in het kader van haar dienstverlening op het gebied van assessment-, selectie- en recruitmenttechnologie, conform artikel 28 lid 3 van de Algemene verordening gegevensbescherming ("AVG").

Opname in de hoofdovereenkomst, geen afzonderlijke ondertekening vereist
Deze Verwerkersovereenkomst is als bijlage gehecht aan, en maakt integraal onderdeel uit van, de overeenkomst(en) tussen Partijen op grond waarvan Selection Lab haar diensten levert (de "Hoofdovereenkomst"). Door de Hoofdovereenkomst te ondertekenen, aanvaardt elke Partij tevens deze Verwerkersovereenkomst en gaat zij die aan. Afzonderlijke ondertekening van deze Verwerkersovereenkomst is niet vereist. Deze Verwerkersovereenkomst treedt in werking op de ingangsdatum van de Hoofdovereenkomst.

Partijen

Deze Verwerkersovereenkomst geldt tussen:

• The Selection Lab B.V., handelend onder de naam Selection Lab, een besloten vennootschap naar Nederlands recht (KvK-nummer 71341730), met statutaire zetel aan de Sint Pieterspoortsteeg 19, 1012 HM Amsterdam ("Selection Lab" of "Verwerker"); en
• de partij die in de Hoofdovereenkomst als klant is aangeduid ("Klant" of "Verwerkingsverantwoordelijke"), van wie de bedrijfsgegevens, statutaire zetel en registratienummer zijn vermeld in de Hoofdovereenkomst.

Hierna gezamenlijk aangeduid als "Partijen" en afzonderlijk als "Partij".

Overwegingen

A. Partijen zijn de Hoofdovereenkomst aangegaan, op grond waarvan Selection Lab diensten levert waarbij persoonsgegevens worden verwerkt.

B. In het kader van de AVG treedt Selection Lab op als zelfstandig verwerkingsverantwoordelijke voor de assessmentverwerking: zij bepaalt het doel en de middelen van de verwerking van assessmentgegevens van kandidaten, vraagt hun toestemming en handelt hun verzoeken over hun rechten af. De Klant treedt op als zelfstandig verwerkingsverantwoordelijke voor zijn eigen wervingsproces, waaronder de beslissing om iemand wel of niet aan te nemen. Voor taken die Selection Lab uitsluitend in opdracht van de Klant uitvoert, zoals het namens de Klant versturen van assessmentuitnodigingen, treedt Selection Lab op als verwerker en is deze verwerkersovereenkomst van toepassing, zoals beschreven in Bijlage 1.

C. Partijen wensen hun wederzijdse rechten en verplichtingen met betrekking tot die verwerking vast te leggen in deze Verwerkersovereenkomst. De specifieke gegevens over de verwerking zijn beschreven in Bijlage 1.

1 Definities

De begrippen "persoonsgegevens", "verwerking", "betrokkene", "verwerkingsverantwoordelijke" en "verwerker" hebben de betekenis die de AVG daaraan geeft. De overige begrippen met een hoofdletter hebben de hieronder toegekende betekenis:

2 Algemene uitgangspunten en opname

2.1 Elke Partij houdt zich aan alle toepasselijke Privacywetgeving en verwerkt persoonsgegevens uitsluitend voor legitieme bedrijfsdoeleinden.

2.2 Deze Verwerkersovereenkomst maakt integraal onderdeel uit van de Hoofdovereenkomst. Bij strijdigheid tussen deze Verwerkersovereenkomst en de Hoofdovereenkomst ten aanzien van de verwerking van persoonsgegevens, prevaleert deze Verwerkersovereenkomst.

2.3 Aanvaarding van de Hoofdovereenkomst (door ondertekening of op enige andere in de Hoofdovereenkomst voorziene wijze van aanvaarding) geldt als aanvaarding van deze Verwerkersovereenkomst door beide Partijen. Afzonderlijke ondertekening van deze Verwerkersovereenkomst is niet vereist voor de geldigheid en verbindendheid ervan.

3 Technische en organisatorische maatregelen

3.1 De Verwerker treft en onderhoudt passende en controleerbare technische en organisatorische maatregelen ("TOM's") om de beveiliging, integriteit en beschikbaarheid van persoonsgegevens te waarborgen.

3.2 Deze maatregelen omvatten ten minste: geheimhoudingsverplichtingen, rolgebaseerde toegangscontrole, versleuteling, netwerkbeveiliging, logging en incident response. Een samenvatting is opgenomen in Bijlage 1, onderdeel 5.

3.3 De Verwerker beoordeelt en verbetert haar TOM's periodiek om blijvende naleving van de AVG te waarborgen.

4 Verwerkingsinstructies en Subverwerkers

4.1 De Verwerker verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Verwerkingsverantwoordelijke, tenzij de wet anders voorschrijft.

4.2 De Verwerker stelt de Verwerkingsverantwoordelijke onverwijld op de hoogte indien een instructie naar haar oordeel in strijd is met de Privacywetgeving.

4.3 Subverwerkers mogen uitsluitend worden ingeschakeld met voorafgaande schriftelijke toestemming van de Verwerkingsverantwoordelijke. De in Bijlage 1, onderdeel 4 opgenomen Subverwerkers worden bij aanvaarding van de Hoofdovereenkomst geacht door de Verwerkingsverantwoordelijke te zijn goedgekeurd.

4.4 De Verwerker informeert de Verwerkingsverantwoordelijke vooraf over elke voorgenomen toevoeging of vervanging van Subverwerkers en biedt de Verwerkingsverantwoordelijke de gelegenheid om op redelijke gronden bezwaar te maken.

4.5 De Verwerker blijft volledig aansprakelijk voor de prestaties van haar Subverwerkers.

5 Internationale doorgifte

Persoonsgegevens worden uitsluitend buiten de EER doorgegeven aan de in Bijlage 1, onderdeel 4 opgenomen Subverwerkers, op de daar per Subverwerker vermelde grondslag, zijnde een adequaatheidsbesluit of de standaardcontractbepalingen van de Europese Commissie, en volledig conform hoofdstuk V AVG. De goedkeuring van die lijst op grond van artikel 4.3 geldt als de schriftelijke toestemming van de Verwerkingsverantwoordelijke.

6 Bijstand en DPIA

De Verwerker verleent de Verwerkingsverantwoordelijke bijstand bij het uitvoeren van gegevensbeschermingseffectbeoordelingen en bij overleg met toezichthoudende autoriteiten wanneer dat vereist is.

7 Auditrechten

De Verwerkingsverantwoordelijke kan de naleving van deze Verwerkersovereenkomst door de Verwerker eenmaal per jaar auditen, of bij een redelijk vermoeden van niet-naleving. De Verwerker verleent daarbij volledige medewerking en verstrekt alle benodigde bewijsstukken.

8 Toegang voor de toezichthouder

Partijen werken volledig mee met de bevoegde toezichthoudende autoriteiten en verlenen toegang tot systemen en documentatie voor zover de wet dat vereist.

9 Datalekken

9.1 De Verwerker stelt de Verwerkingsverantwoordelijke binnen 24 uur na ontdekking op de hoogte van elk Datalek.

9.2 De melding bevat alle relevante gegevens, waaronder de aard van het lek, de getroffen gegevens, de mogelijke gevolgen en de herstelmaatregelen.

9.3 De Verwerker benadert betrokkenen of autoriteiten niet over een Datalek zonder voorafgaande goedkeuring van de Verwerkingsverantwoordelijke, tenzij de wet daartoe verplicht.

10 Rechten van betrokkenen

De Verwerker verleent de Verwerkingsverantwoordelijke bijstand bij het beantwoorden van verzoeken van betrokkenen op grond van de artikelen 15 tot en met 22 AVG (inzage, rectificatie, verwijdering, beperking, dataportabiliteit en bezwaar).

11 Bewaring en verwijdering

Bij beëindiging van de Hoofdovereenkomst retourneert of verwijdert de Verwerker alle persoonsgegevens conform de instructie van de Verwerkingsverantwoordelijke, tenzij bewaring wettelijk verplicht is.

12 Aansprakelijkheid en verzekering

Elke Partij is verantwoordelijk voor haar eigen handelen en nalaten. De Verwerker houdt een toereikende verzekering aan en is aansprakelijk tot de in de Hoofdovereenkomst opgenomen grenzen.

13 Duur

Deze Verwerkersovereenkomst treedt in werking op de ingangsdatum van de Hoofdovereenkomst en blijft van kracht zolang de Verwerker persoonsgegevens verwerkt namens de Verwerkingsverantwoordelijke, ook na beëindiging van de Hoofdovereenkomst voor zover die verwerking voortduurt.

14 Toepasselijk recht en bevoegde rechter

Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden uitsluitend voorgelegd aan de bevoegde rechter te Rotterdam.

Bijlage 1 Beschrijving van de verwerking

1. Contactgegevens

• Verwerkingsverantwoordelijke: de contactpersoon die de Klant in de Hoofdovereenkomst heeft aangewezen of, bij gebreke daarvan, de ondertekenaar van de Hoofdovereenkomst namens de Klant.
• Verwerker: Ondřej Sloup, Functionaris voor gegevensbescherming (FG), [email protected].

2. Aard en doel van de verwerking

De Verwerker nodigt namens de Klant kandidaten uit om een online assessment te maken ten behoeve van werving of ontwikkeling.

• Categorieën betrokkenen: sollicitanten van de Klant.
• Categorieën persoonsgegevens: naam, e-mailadres, (optioneel) telefoonnummer, assessmentgegevens (psychometrische antwoorden en resultaten).
• Doel: de Klant in staat stellen de geschiktheid van kandidaten voor een functie of ontwikkelprogramma te beoordelen.

3. Verduidelijking van de rollen

Selection Lab treedt op als zelfstandig verwerkingsverantwoordelijke voor het assessment: de assessmentinhoud en de psychometrische methodologie, de verwerking van de antwoorden en resultaten van kandidaten, de toestemming die kandidaten geven en hun verzoeken over hun rechten. De Klant treedt op als zelfstandig verwerkingsverantwoordelijke voor zijn eigen wervingsproces, waaronder de beslissing om iemand wel of niet aan te nemen. Selection Lab treedt alleen op als verwerker namens de Klant voor taken die zij uitsluitend in opdracht van de Klant uitvoert, zoals het versturen van assessmentuitnodigingen; deze verwerkersovereenkomst is op die taken van toepassing.

4. Goedgekeurde Subverwerkers

De volgende Subverwerkers worden bij aanvaarding van de Hoofdovereenkomst door de Verwerkingsverantwoordelijke goedgekeurd. Subverwerkers verwerken persoonsgegevens binnen de EER, tenzij in de tabel anders is vermeld; in dat geval vindt de doorgifte plaats op basis van de standaardcontractbepalingen (SCC's) van de Europese Commissie. De actuele lijst is ook gepubliceerd in de privacyverklaring van Selection Lab op www.selectionlab.com/nl/pages/privacy.

Alleen van toepassing wanneer de Klant het betreffende assessment gebruikt:

Alleen van toepassing voor Klanten die SmartChat (AI-chatscreening) gebruiken:

De Subverwerkers in deze tabel zijn uitsluitend van toepassing wanneer de Klant SmartChat heeft afgenomen onder de Hoofdovereenkomst. Voor Klanten zonder SmartChat worden door hen geen persoonsgegevens verwerkt.

5. Beveiligingsmaatregelen

Selection Lab hanteert beveiliging die aansluit bij de ISO 27001-normen, waaronder:

• Toegangscontrole en authenticatie;
• Versleuteling van gegevens in rust en tijdens transport;
• Logging en monitoring;
• Procedures voor incident response en de afhandeling van datalekken;
• Beveiligde hosting binnen de EER, tenzij de tabellen met Subverwerkers in onderdeel 4 anders vermelden;
• Jaarlijkse externe audits (ISAE 3000 type II of gelijkwaardig).

Referentiedocumenten

Documentbeheer. Deze Verwerkersovereenkomst is versie 2026.9, september 2026, opgesteld door The Selection Lab B.V., Amsterdam, Nederland. Contact: [email protected] | www.selectionlab.com. Wijzigingen in deze Verwerkersovereenkomst vinden plaats conform de wijzigingsbepalingen van de Hoofdovereenkomst.