Verwerkersovereenkomst

Deze verwerkersovereenkomst maakt deel uit van de algemene voorwaarden van Qantara Recruit en wordt gesloten tussen de klant (verwerkingsverantwoordelijke) en Qantara (verwerker) op het moment dat de klant zich registreert of een nieuwe versie bevestigt. Begrippen hebben de betekenis van de Algemene verordening gegevensbescherming (AVG).

Artikel 1. Onderwerp en rolverdeling

1. Qantara verwerkt in opdracht van de klant persoonsgegevens die de klant en haar gebruikers in Qantara Recruit invoeren ("klantgegevens"). De klant is verwerkingsverantwoordelijke, Qantara is verwerker.
2. Bijlage 1 beschrijft de aard en het doel van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen.
3. Voor gegevens die Qantara verwerkt om de dienst te leveren en te beveiligen (accounts, logboeken, contactformulier, facturatie) is Qantara zelf verwerkingsverantwoordelijke; daarvoor geldt de privacyverklaring.

Artikel 2. Instructies

1. Qantara verwerkt klantgegevens uitsluitend op basis van gedocumenteerde instructies van de klant. Het gebruik van de functies van de dienst door de klant en haar gebruikers geldt als instructie, net als deze overeenkomst en de algemene voorwaarden.
2. Qantara verwerkt klantgegevens niet voor eigen doelen, deelt ze niet met derden anders dan subverwerkers en de diensten van derden die de klant zelf koppelt (artikel 5 lid 4), en gebruikt ze niet om AI-modellen te trainen.
3. Verplicht Unierecht of Nederlands recht Qantara tot een verwerking buiten de instructies, dan informeert Qantara de klant vooraf, tenzij de wet dat verbiedt.
4. Meent Qantara dat een instructie in strijd is met de AVG, dan meldt zij dat direct aan de klant.

Artikel 3. Verplichtingen van de klant

1. De klant staat ervoor in dat zij een geldige grondslag heeft voor de verwerking, betrokkenen informeert en hun verzoeken afhandelt.
2. De klant voert geen bijzondere persoonsgegevens (artikel 9 AVG), geen gegevens over strafrechtelijke veroordelingen (artikel 10 AVG) en geen burgerservicenummers of andere nationale identificatienummers in, ook niet in vrije tekst of in documenten, tenzij een functie van de dienst daar uitdrukkelijk voor is bedoeld en de klant daarvoor een wettelijke grondslag heeft.
3. De klant beheert de toegangsrechten van haar gebruikers, verwijdert vertrokken gebruikers en gebruikt de beschikbare beveiligingsinstellingen.
4. De klant stelt bewaartermijnen vast voor kandidaten en past die toe met de functies van de dienst; Qantara ondersteunt haar daarbij (artikel 4 lid 4).
5. Koppelt de klant WhatsApp Business, dan kunnen personen in hun berichten en bestanden ongevraagd gegevens sturen als bedoeld in lid 2. Qantara vervangt burgerservicenummers en rekeningnummers (IBAN) in de tekst van binnenkomende berichten voordat die tekst wordt opgeslagen; bestanden past Qantara niet aan. Staan zulke gegevens toch in de dienst, dan verwijdert de klant ze zo snel mogelijk, bijvoorbeeld met de functie om een bericht of bestand te verwijderen, en neemt zij ze niet over in een dossier, tenzij lid 2 dat toestaat.
6. Een foto van een persoon legt de klant alleen vast als die persoon de foto zelf heeft gegeven of gedeeld, zoals in een cv of mailhandtekening, of als de foto bij het contact in het adresboek van een gekoppelde mailbox staat. Een foto uit een adresboek neemt Qantara alleen over uit de eigen mailbox van een gebruiker, door die gebruiker of door een beheerder van de klant gekoppeld, alleen bij een contactpersoon waarvan het e-mailadres precies overeenkomt, nooit voor kandidaten en nooit over een geüploade foto heen; de klant kan dat automatisch overnemen uitzetten. Foto's van LinkedIn of andere websites zet de klant niet in de dienst. De klant gebruikt foto's alleen om personen te herkennen, niet om kandidaten te selecteren of te beoordelen.

Artikel 4. Verplichtingen van Qantara

1. Vertrouwelijkheid. Qantara verleent alleen toegang tot klantgegevens aan personen die tot geheimhouding verplicht zijn en die toegang nodig hebben voor beheer, ondersteuning of beveiliging. Toegang door Qantara wordt gelogd.
2. Beveiliging. Qantara treft de technische en organisatorische maatregelen van bijlage 2 en houdt die bij de stand van de techniek.
3. Rechten van betrokkenen. Qantara helpt de klant, voor zover de dienst dat niet zelf mogelijk maakt, binnen 10 werkdagen bij verzoeken van betrokkenen om inzage, rectificatie, verwijdering, beperking, overdraagbaarheid of bezwaar. Ontvangt Qantara zo'n verzoek rechtstreeks, dan stuurt zij het door naar de klant.
4. Verwijdering en anonimisering. Qantara verwijdert of anonimiseert klantgegevens op verzoek van de klant binnen 30 dagen, voor zover de dienst dat niet zelf mogelijk maakt.
5. Gegevensbeschermingseffectbeoordeling. Qantara verstrekt de klant de informatie die zij nodig heeft voor een DPIA en een eventuele voorafgaande raadpleging, waaronder de beschrijving van de maatregelen in bijlage 2.
6. Informatie en audit. Qantara stelt op verzoek documentatie beschikbaar waaruit de naleving van deze overeenkomst blijkt (onder meer het rapport van de geautomatiseerde isolatiecontrole en de beschrijving van de maatregelen). Volstaat dat niet, dan mag de klant eenmaal per jaar, of na een datalek, een audit laten uitvoeren door een onafhankelijke deskundige, met een aankondiging van 30 dagen, tijdens kantooruren, op kosten van de klant, met geheimhouding en zonder toegang tot gegevens van andere klanten.

Artikel 5. Subverwerkers

1. De klant geeft Qantara algemene toestemming om subverwerkers in te schakelen. De actuele lijst staat op /subverwerkers (bijlage 3).
2. Qantara kondigt een nieuwe of gewijzigde subverwerker ten minste 30 dagen vooraf per e-mail aan de beheerders van de klant aan. Maakt de klant binnen die termijn gemotiveerd bezwaar, dan zoeken partijen een oplossing; lukt dat niet vóór de ingangsdatum, dan mag de klant de overeenkomst kosteloos opzeggen.
3. Qantara legt subverwerkers dezelfde verplichtingen op als in deze overeenkomst en blijft tegenover de klant verantwoordelijk voor hun nakoming.
4. Koppelt de klant zelf een dienst van een derde (zoals een mailbox, agenda of adresboek van Microsoft 365 of Google Workspace, of een WhatsApp Business-account bij Meta), dan is die derde geen subverwerker van Qantara en geldt de overeenkomst die de klant zelf met die derde heeft. Voor WhatsApp Business is dat de overeenkomst van de klant met WhatsApp Ireland Limited (Meta), die de berichten als verwerker van de klant verwerkt.

Artikel 6. Doorgifte buiten de EER

1. Qantara verwerkt klantgegevens uitsluitend binnen de Europese Economische Ruimte en geeft ze niet door naar landen daarbuiten zonder voorafgaande gedocumenteerde instructie van de klant en zonder passende waarborgen in de zin van hoofdstuk V van de AVG.
2. Koppelt de klant zelf een dienst van een derde als bedoeld in artikel 5 lid 4, zoals WhatsApp Business, dan geldt dat koppelen als gedocumenteerde instructie van de klant om de gegevens die voor die koppeling nodig zijn met die derde uit te wisselen. Of die derde gegevens buiten de EER verwerkt, en met welke waarborgen, regelt de overeenkomst tussen de klant en die derde. Qantara bewaart ook de gegevens uit zo'n koppeling alleen binnen de EER.

Artikel 7. Inbreuken in verband met persoonsgegevens

1. Qantara meldt een inbreuk in verband met persoonsgegevens die klantgegevens raakt zonder onredelijke vertraging en uiterlijk 48 uur na ontdekking aan de beheerders van de klant, via e-mail.
2. De melding bevat, voor zover bekend: de aard van de inbreuk, de betrokken categorieën gegevens en betrokkenen, de waarschijnlijke gevolgen en de getroffen of voorgestelde maatregelen. Informatie die later bekend wordt, levert Qantara na.
3. De klant beoordeelt of zij de inbreuk meldt aan de Autoriteit Persoonsgegevens en aan betrokkenen. Qantara meldt niet namens de klant, tenzij de klant daarom vraagt.
4. Qantara documenteert elke inbreuk en de genomen maatregelen.

Artikel 8. Duur, beëindiging en teruggave

1. Deze overeenkomst geldt zolang Qantara klantgegevens voor de klant verwerkt.
2. Tot 30 dagen na het einde van de algemene voorwaarden kan de klant een export van de klantgegevens in een gangbaar formaat opvragen.
3. Na die 30 dagen verwijdert Qantara alle klantgegevens uit de productiesystemen, tenzij Unierecht of Nederlands recht opslag verplicht. Back-ups verlopen automatisch uiterlijk 35 dagen daarna en worden niet gebruikt om verwijderde gegevens te herstellen, behalve bij een calamiteit en dan alleen samen met de hernieuwde verwijdering.
4. Qantara bevestigt de verwijdering op verzoek schriftelijk.

Artikel 9. Aansprakelijkheid

Voor aansprakelijkheid onder deze overeenkomst geldt de regeling van de algemene voorwaarden, met dien verstande dat elke partij aansprakelijk is voor de boetes en schade die voortvloeien uit haar eigen schending van de AVG, overeenkomstig artikel 82 AVG.

Artikel 10. Overig

1. Bij strijd tussen deze overeenkomst en de algemene voorwaarden gaat deze overeenkomst voor waar het de verwerking van persoonsgegevens betreft.
2. Wijzigingen in deze overeenkomst kondigt Qantara ten minste 30 dagen vooraf aan; een beheerder bevestigt de nieuwe versie in de dienst. De aanvaarde versie en het tijdstip worden vastgelegd.
3. Op deze overeenkomst is Nederlands recht van toepassing.

Bijlage 1. Beschrijving van de verwerking

Bijlage 2. Technische en organisatorische maatregelen

Bijlage 3. Subverwerkers

De actuele lijst, met de locatie van verwerking en de gegevens per subverwerker, staat op /subverwerkers.