Deze verwerkersovereenkomst ("Verwerkersovereenkomst") vormt een integraal onderdeel van de Algemene Voorwaarden (de "Overeenkomst") tussen SourceGeek VoF, gevestigd aan de Mozartlaan 33, 3603 BD Maarssen, Nederland ("SourceGeek") en de klant die de Overeenkomst heeft aanvaard ("Klant"). Zij is van toepassing wanneer SourceGeek persoonsgegevens verwerkt ten behoeve van Klant bij het leveren van het SourceGeek-platform en gerelateerde diensten (de "Diensten"). Bij strijdigheid tussen deze Verwerkersovereenkomst en de Overeenkomst met betrekking tot de verwerking van persoonsgegevens gaat deze Verwerkersovereenkomst voor.
Begrippen zoals "persoonsgegevens", "verwerking", "verwerkingsverantwoordelijke", "verwerker", "betrokkene" en "inbreuk in verband met persoonsgegevens" hebben de betekenis die daaraan wordt gegeven in Verordening (EU) 2016/679 (de "AVG"). "Gekoppelde Systemen" zijn de systemen die Klant aan de Diensten koppelt (zoals een applicant tracking system, e-mail, agenda of berichtenplatform). "Subverwerker" is een derde die door SourceGeek wordt ingeschakeld om persoonsgegevens ten behoeve van Klant te verwerken.
2.1. Klant is verwerkingsverantwoordelijke en SourceGeek is verwerker van de persoonsgegevens die via de Diensten ten behoeve van Klant worden verwerkt.
2.2. Waar Klant zelf als verwerker optreedt voor haar eigen opdrachtgevers (bijvoorbeeld als werving- en selectie- of uitzendbureau dat kandidaatgegevens verwerkt ten behoeve van een inhurende organisatie), treedt SourceGeek op als subverwerker. Klant staat ervoor in dat haar overeenkomst met de betreffende verwerkingsverantwoordelijke het inschakelen van SourceGeek toestaat en dat de instructies die zij onder deze Verwerkersovereenkomst geeft daarmee in overeenstemming zijn.
2.3. SourceGeek treedt op als zelfstandige verwerkingsverantwoordelijke voor de beperkte verwerkingen beschreven in haar eigen privacybeleid (zoals account-, facturatie- en supportgegevens van Klant). Die verwerkingen vallen buiten deze Verwerkersovereenkomst.
3.1. Het onderwerp, de aard en het doel van de verwerking, de categorieën van betrokkenen en de categorieën van persoonsgegevens zijn beschreven in Bijlage 1.
3.2. De duur van de verwerking is de looptijd van de Overeenkomst, plus de beperkte afwikkelperiode die nodig is om persoonsgegevens te verwijderen overeenkomstig artikel 12.
4.1. SourceGeek verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van Klant, tenzij een op SourceGeek van toepassing zijnde Unierechtelijke of lidstaatrechtelijke bepaling tot verwerking verplicht; in dat geval stelt SourceGeek Klant voorafgaand aan de verwerking in kennis van dat wettelijk voorschrift, tenzij die wetgeving dit verbiedt.
4.2. Gedocumenteerde instructies bestaan uit: deze Verwerkersovereenkomst, de Overeenkomst, de configuratie van de Diensten door Klant (waaronder welke Gekoppelde Systemen zijn gekoppeld en welke workspace-instellingen zijn ingeschakeld) en de instructies die geautoriseerde gebruikers van Klant via de Diensten geven — waaronder de vragen die zij stellen en de acties die zij goedkeuren. Schrijfacties op Gekoppelde Systemen vereisen goedkeuring door een geautoriseerde gebruiker voordat zij worden uitgevoerd, overeenkomstig het goedkeuringsbeleid van de workspace.
4.3. SourceGeek stelt Klant onverwijld in kennis indien naar haar oordeel een instructie inbreuk maakt op de AVG of andere toepasselijke gegevensbeschermingswetgeving.
SourceGeek waarborgt dat de tot het verwerken van de persoonsgegevens gemachtigde personen zich tot vertrouwelijkheid hebben verbonden of door een passende wettelijke verplichting van vertrouwelijkheid zijn gebonden, en dat toegang beperkt is tot wat noodzakelijk is voor het leveren van de Diensten.
6.1. Rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard, omvang, context en doeleinden van de verwerking, treft en onderhoudt SourceGeek passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te waarborgen, zoals vereist door artikel 32 AVG. De huidige maatregelen zijn beschreven in Bijlage 2.
6.2. SourceGeek kan de maatregelen in Bijlage 2 van tijd tot tijd actualiseren, mits de wijzigingen het algehele beschermingsniveau niet wezenlijk verlagen.
7.1. Klant verleent SourceGeek een algemene toestemming om Subverwerkers in te schakelen voor de in deze Verwerkersovereenkomst beschreven verwerkingen. De actuele lijst van Subverwerkers is gepubliceerd op sourcegeek.com/sub-processors.
7.2. SourceGeek informeert Klant ten minste 30 dagen van tevoren over de toevoeging of vervanging van een Subverwerker, door die pagina bij te werken en workspace-beheerders te notificeren. Klant kan binnen die termijn op redelijke gegevensbeschermingsgronden bezwaar maken; als partijen het bezwaar niet kunnen oplossen, kan Klant de betrokken Diensten beëindigen.
7.3. SourceGeek legt iedere Subverwerker bij overeenkomst gegevensbeschermingsverplichtingen op die ten minste hetzelfde beschermingsniveau bieden als deze Verwerkersovereenkomst, en blijft jegens Klant volledig aansprakelijk voor de nakoming van de verplichtingen van iedere Subverwerker.
7.4. Gekoppelde Systemen zijn geen Subverwerkers. Het zijn de eigen dienstverleners van Klant, waartoe SourceGeek zich uitsluitend op instructie van Klant en met door Klant verstrekte inloggegevens toegang verschaft.
8.1. Waar de Diensten grote taalmodellen gebruiken om persoonsgegevens te verwerken (bijvoorbeeld om een vraag te beantwoorden waarvoor gegevens uit een Gekoppeld Systeem nodig zijn), worden de betreffende gegevens via een AI-gateway verzonden die verzoeken uitsluitend routeert naar aanbieders die onder zero-data-retention-voorwaarden werken: prompts en antwoorden worden verwerkt om het antwoord te genereren, worden door de modelaanbieder niet opgeslagen en worden niet gebruikt om modellen te trainen. Verzoeken waarvoor geen zero-data-retention-aanbieder beschikbaar is, mislukken in plaats van terug te vallen op een niet-conforme aanbieder.
8.2. Persoonsgegevens uit Gekoppelde Systemen worden per verzoek opgehaald. SourceGeek kopieert, synchroniseert of crawlt Gekoppelde Systemen niet in bulk.
8.3. De Diensten nemen geen geautomatiseerde besluiten over betrokkenen die rechtsgevolgen hebben of hen anderszins in aanmerkelijke mate treffen in de zin van artikel 22 AVG. Acties die gegevens in Gekoppelde Systemen wijzigen, vereisen voorafgaande goedkeuring door een geautoriseerde gebruiker van Klant, en elke actie wordt vastgelegd in een voor Klant beschikbaar auditlog.
9.1. SourceGeek verwerkt persoonsgegevens buiten de Europese Economische Ruimte uitsluitend in overeenstemming met hoofdstuk V AVG. Waar een Subverwerker persoonsgegevens verwerkt in een derde land zonder adequaatheidsbesluit, wordt de doorgifte gewaarborgd door de standaardcontractbepalingen van de Europese Commissie en/of certificering onder het EU-VS Data Privacy Framework, zoals aangegeven in de Subverwerkerslijst.
10.1. Rekening houdend met de aard van de verwerking verleent SourceGeek Klant met passende technische en organisatorische maatregelen, voor zover mogelijk, bijstand bij het vervullen van diens plicht om verzoeken van betrokkenen op grond van hoofdstuk III AVG te beantwoorden. Wordt een verzoek van een betrokkene rechtstreeks bij SourceGeek ingediend, dan stuurt SourceGeek dit onverwijld door aan Klant en reageert zij zelf niet inhoudelijk, behalve om de betrokkene naar Klant te verwijzen.
10.2. SourceGeek verleent Klant bijstand bij het naleven van de artikelen 32 tot en met 36 AVG (beveiliging, meldplicht datalekken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging), rekening houdend met de aard van de verwerking en de SourceGeek ter beschikking staande informatie.
SourceGeek stelt Klant onverwijld, en in ieder geval binnen 48 uur, in kennis nadat zij kennis heeft genomen van een inbreuk in verband met persoonsgegevens die de persoonsgegevens van Klant treft. De kennisgeving beschrijft, voor zover bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en registraties, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een contactpunt. SourceGeek documenteert inbreuken en werkt mee aan redelijke verzoeken van Klant om nadere informatie.
12.1. Gedurende de looptijd kan Klant persoonsgegevens via de Diensten verwijderen, onder meer door afzonderlijke workspaces te verwijderen. Het verwijderen van een workspace wist de bijbehorende chats, documenten, geheugens, automatiseringen en auditlogs permanent.
12.2. Bij beëindiging van de Overeenkomst verwijdert SourceGeek alle ten behoeve van Klant verwerkte persoonsgegevens, tenzij Unierechtelijke of lidstaatrechtelijke bepalingen opslag verplichten. SourceGeek mag maximaal 90 dagen een verwijderbewijs zonder inhoud (uitsluitend operationele metadata) bewaren als bewijs dat de verwijdering heeft plaatsgevonden.
13.1. SourceGeek stelt Klant alle informatie ter beschikking die nodig is om naleving van artikel 28 AVG aan te tonen, en maakt audits, waaronder inspecties, door Klant of een door Klant gemachtigde auditor mogelijk en draagt eraan bij.
13.2. Audits vinden ten hoogste eenmaal per jaar plaats (tenzij vereist door een toezichthoudende autoriteit of na een inbreuk in verband met persoonsgegevens), met een schriftelijke aankondigingstermijn van ten minste 30 dagen, tijdens kantooruren, zonder de bedrijfsvoering van SourceGeek onredelijk te verstoren en onder passende geheimhoudingsafspraken. Iedere partij draagt haar eigen kosten.
14.1. De aansprakelijkheidsbepalingen van de Overeenkomst zijn van toepassing op deze Verwerkersovereenkomst.
14.2. Deze Verwerkersovereenkomst treedt in werking bij aanvaarding van de Overeenkomst en blijft van kracht zolang SourceGeek persoonsgegevens ten behoeve van Klant verwerkt.
14.3. Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden beslecht zoals bepaald in de Overeenkomst.
Aard en doel van de verwerking. Het leveren van een AI-assistent voor recruitmentteams: het beantwoorden van vragen van gebruikers, het onderzoeken en scoren van kandidaten, het opstellen van documenten en outreach, en — na goedkeuring door de gebruiker — het uitvoeren van acties in Gekoppelde Systemen; met inbegrip van het hosten, doorgeven, tonen en verwijderen van de betrokken gegevens.
Categorieën van betrokkenen. Kandidaten en sollicitanten; contactpersonen van Klant (zoals hiring managers en opdrachtgeverscontacten); geautoriseerde gebruikers van de Diensten van Klant.
Categorieën van persoonsgegevens. Identificatie- en contactgegevens (naam, e-mailadres, telefoonnummer); professionele gegevens (cv-inhoud, werkervaring, opleiding, vaardigheden, openbare professionele profielen); wervingsgegevens (sollicitatie- en pipelinestatus, notities, beoordelingen, correspondentie); inhoud van chats en in de Diensten gemaakte documenten; technische en gebruiksgegevens (loggegevens, identifiers) voor zover deze betrekking hebben op identificeerbare personen.
Bijzondere categorieën van persoonsgegevens. De Diensten zijn niet bedoeld voor de verwerking van bijzondere categorieën van persoonsgegevens (artikel 9 AVG). Klant geeft daartoe slechts instructie wanneer zij daarvoor een geldige rechtsgrondslag en passende waarborgen heeft.
Verwerkingsactiviteiten. Het op verzoek ophalen uit Gekoppelde Systemen en databronnen; opslag; ordening; analyse en verrijking; opstellen van teksten; doorgifte aan geautoriseerde gebruikers van Klant; goedgekeurde schrijfacties op Gekoppelde Systemen; wissing.
Vragen over deze Verwerkersovereenkomst kunnen worden gestuurd naar support@sourcegeek.com.
Eenvoudig plug & play, geen technische kennis nodig. Je assistent is binnen enkele minuten klaar voor gebruik.