Verwerkersovereenkomst

Deze DPA wordt aangegaan tussen Hudle B.V. (in oprichting) („Hudle” of „Verwerker”) en de rechtspersoon die is vermeld in het toepasselijke abonnement, het orderformulier of de dienstenovereenkomst („Klant” of „Verwerkingsverantwoordelijke”). Deze DPA wordt van kracht wanneer beide partijen haar aanvaarden en maakt deel uit van hun overeenkomst over het gebruik van Hudle (de „Hoofdovereenkomst”).

Contact Hudle: Johan Huizingalaan 763A, 1066 VH Amsterdam, Nederland (B. Amsterdam, B.1); privacy@hudle.nl; www.hudle.nl. Dit adres wordt gebruikt als correspondentielocatie en moet vóór ondertekening worden gecontroleerd. Er is geen inschrijvingsnummer van de vennootschap vermeld.

1. Reikwijdte en voorrang

1.1 Deze DPA is van toepassing wanneer Hudle Persoonsgegevens namens de Klant verwerkt om het Hudle-SaaS-platform te leveren, met inbegrip van optionele modules die de Klant inschakelt. Zij is niet van toepassing op verwerkingen waarvan Hudle zelfstandig de doeleinden en middelen vaststelt, zoals de eigen facturatie, zakelijke contacten, direct marketing of bepaald beheer van platformbeveiliging. Die verwerking is beschreven in de privacyverklaring van Hudle.

1.2 Begrippen met een hoofdletter, zoals Persoonsgegevens, Betrokkene, Verwerking, Verwerkingsverantwoordelijke, Verwerker en Inbreuk in verband met persoonsgegevens, hebben de betekenis die daaraan is gegeven in Verordening (EU) 2016/679 („AVG”). Als deze DPA in strijd is met de Hoofdovereenkomst over de verwerking van Persoonsgegevens van de Klant, prevaleert deze DPA voor zover sprake is van die strijd. Dwingend gegevensbeschermingsrecht prevaleert in alle gevallen.

2. Onderwerp, duur, aard en doel

2.1 Het onderwerp is de hosting, exploitatie, het onderhoud, de support en de beveiliging van de tenantgebaseerde diensten van de Klant voor werving, talentmanagement, staffing en inzet. De verwerking duurt voort gedurende de looptijd van de Hoofdovereenkomst en een overeengekomen overgangs- of verwijderingsperiode.

2.2 De aard, de doeleinden, de betrokkenen en de categorieën Persoonsgegevens zijn beschreven in bijlage 1. De Klant bepaalt de verwerkingsdoeleinden en de rechtmatige grondslagen, de geüploade inhoud, de toegestane ontvangers, de toegangsrechten en de bewaareisen.

3. Gedocumenteerde instructies en verantwoordelijkheden van de Klant

3.1 Hudle verwerkt Persoonsgegevens van de Klant uitsluitend op gedocumenteerde instructies van de Klant, ook met betrekking tot internationale doorgiften, tenzij Unierecht of het recht van een lidstaat dit vereist. In dat geval stelt Hudle de Klant vóór de verwerking op de hoogte van die wettelijke verplichting, tenzij die kennisgeving wettelijk verboden is. De Hoofdovereenkomst, deze DPA, geautoriseerde accountconfiguraties en gedocumenteerde supportverzoeken vormen instructies.

3.2 Hudle informeert de Klant onverwijld als een instructie naar het oordeel van Hudle in strijd is met het toepasselijke gegevensbeschermingsrecht van de Unie of een lidstaat. Hudle kan de betreffende verwerking opschorten zolang partijen de instructie verduidelijken.

3.3 De Klant is verantwoordelijk voor de rechtmatige grondslag van zijn verwerking, privacyverklaringen, de kwaliteit van gegevens, beslissingen over toegangsbevoegdheid, het rechtmatig delen met opdrachtgevers die werven en met professionele gebruikers, dataminimalisatie, en rechtmatige bewaartermijnen, met inbegrip van de omgang met VOG-gerelateerde documenten en gevoelige informatie die de Klant ervoor kiest te uploaden.

4. Vertrouwelijkheid en toegang door personeel

Hudle zorgt ervoor dat personen die bevoegd zijn Persoonsgegevens van de Klant te verwerken gebonden zijn aan een geheimhoudingsplicht of een passende wettelijke verplichting, en dat zij Persoonsgegevens alleen inzien voor zover dat noodzakelijk is voor hun geautoriseerde functie, onderworpen aan rolgebaseerde toegangscontrole en administratief toezicht.

5. Beveiliging van de verwerking

5.1 Rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard, de omvang, de context en de doeleinden van de verwerking en de risico’s voor personen, treft Hudle passende technische en organisatorische maatregelen op grond van artikel 32 AVG. Die maatregelen omvatten de controles in bijlage 2, voor zover passend bij de betreffende diensten.

5.2 Hudle beoordeelt de doeltreffendheid van haar waarborgen, beheert kwetsbaarheden en houdt passende processen voor incidentrespons en herstel in stand. Specifieke technische configuraties, assurance-certificeringen en bewaarwaarden mogen niet uit deze DPA worden afgeleid, tenzij zij afzonderlijk zijn aangetoond.

6. Subverwerkers

6.1 De Klant geeft Hudle algemene schriftelijke toestemming om subverwerkers in te schakelen die noodzakelijk zijn voor de dienst, onder de eisen van dit artikel. Hudle verstrekt een actuele lijst van feitelijke subverwerkers, hun functies en de relevante verwerkingslocaties voordat Persoonsgegevens van de Klant naar hen worden geleid. Bijlage 3 is een verificatieschema en is geen stelling dat een niet genoemde aanbieder is ingeschakeld.

6.2 Hudle stelt de Klant vooraf op de hoogte van voorgenomen toevoegingen of vervangingen en biedt een redelijke mogelijkheid om bezwaar te maken op grond van gegevensbescherming. De kennisgevingstermijn en het mechanisme worden vastgelegd in de Hoofdovereenkomst of in de procedure voor kennisgeving van subverwerkers, vóór de productiego-live.

6.3 Hudle legt elke subverwerker schriftelijke verplichtingen op het gebied van gegevensbescherming op die inhoudelijk niet minder bescherming bieden dan de relevante verplichtingen in deze DPA, blijft jegens de Klant verantwoordelijk voor de uitvoering door de subverwerker, en neemt redelijke stappen om de naleving te verifiëren.

7. Internationale doorgiften

7.1 Hudle geeft Persoonsgegevens van de Klant niet door buiten de EER en staat inzage van buiten de EER niet toe, behalve overeenkomstig gedocumenteerde instructies van de Klant en de toepasselijke waarborgen van hoofdstuk V AVG. Waar relevant identificeert Hudle verwerkingslocaties en subverwerkers en treft zij een adequaatheidsmechanisme of passende doorgiftewaarborgen, zoals de toepasselijke standaardcontractbepalingen van de EU, samen met aanvullende maatregelen wanneer die vereist zijn.

7.2 Deze DPA vormt zelf geen standaardcontractbepalingen voor internationale doorgifte. Noodzakelijke doorgifteclausules en doorgifte-effectbeoordelingen moeten afzonderlijk worden getroffen. Partijen adresseren ook internationale toegang via leveranciers van AI, support, hosting, analyse of communicatie, voor zover van toepassing.

8. Verzoeken van betrokkenen

Gelet op de aard van de verwerking staat Hudle de Klant bij met passende technische en organisatorische maatregelen, voor zover mogelijk, bij het beantwoorden van verzoeken om AVG-rechten uit te oefenen. Als Hudle een verzoek ontvangt over Persoonsgegevens van de Klant, verwijst Hudle dat verzoek naar de Klant zonder inhoudelijk te antwoorden, tenzij Hudle daartoe is geïnstrueerd of wettelijk verplicht is.

9. Inbreuken in verband met persoonsgegevens

9.1 Hudle stelt de Klant onverwijld op de hoogte nadat zij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die Persoonsgegevens van de Klant treft, verstrekt de informatie die haar redelijkerwijs ter beschikking staat, en vult de kennisgeving aan wanneer nadere informatie beschikbaar komt. De kennisgeving omvat, voor zover beschikbaar, de aard van de inbreuk, de mogelijk getroffen gegevens en personen, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen, en een contactroute.

9.2 Hudle werkt mee aan inperking, onderzoek, herstel en vereiste kennisgevingen. De Klant blijft verantwoordelijk voor het bepalen en doen van een kennisgeving aan een toezichthoudende autoriteit of aan getroffen personen wanneer de Klant Verwerkingsverantwoordelijke is. Kennisgeving van een incident alleen geldt niet als erkenning van schuld.

10. Bijstand bij naleving en beoordelingen

Hudle verleent redelijke bijstand, rekening houdend met de aard van de verwerking en de informatie waarover zij beschikt, bij de verplichtingen van de Klant op grond van de artikelen 32 tot en met 36 AVG, met inbegrip van beveiligingsbeoordelingen, kennisgevingen van inbreuken, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van toezichthouders wanneer dat vereist is.

11. Aantonen van naleving en audits

11.1 Hudle stelt informatie ter beschikking die redelijkerwijs nodig is om naleving van artikel 28 AVG aan te tonen, en staat audits toe en werkt daaraan mee, met inbegrip van inspecties, die worden uitgevoerd door de Klant of een door de Klant gemandateerde onafhankelijke auditor, onderworpen aan waarborgen voor vertrouwelijkheid, beveiliging en redelijke afstemming.

11.2 Partijen bezien eerst beschikbare beleidsdocumenten, onafhankelijke auditresultaten of compliancedocumentatie, indien aanwezig. Beoordelingen ter plaatse worden redelijk ingepland en mogen de Persoonsgegevens van andere klanten niet blootstellen. Niets in dit artikel beperkt dwingende rechten op grond van artikel 28 AVG.

12. Teruggave en verwijdering

Naar keuze van de Klant geeft Hudle na beëindiging of afloop van de diensten de Persoonsgegevens van de Klant terug of verwijdert zij die, en verwijdert zij bestaande kopieën, tenzij het Unierecht of het recht van een lidstaat opslag vereist. Technische exportformaten, peildata en toepasselijke cycli voor het verwijderen van back-ups worden overeengekomen in de Hoofdovereenkomst of een exitregeling, en bevestigd vóór productiegebruik. Wanneer tijdelijke bewaring nodig is voor herstel of de wet, blijft de toegang beperkt en worden de gegevens verwijderd zodra zij niet langer nodig zijn.

13. Hudle IQ, AI en geautomatiseerde aanbevelingen

13.1 Indien door de Klant ingeschakeld, kan Hudle IQ functiebeschrijvingen analyseren, profielen vergelijken, mogelijke matches rangschikken, vaardigheidstekorten toelichten, cv’s vertalen en aanpassen, prognoses van de inzet ondersteunen, en vragen beantwoorden met gegevens die beschikbaar zijn voor geautoriseerde gebruikers in een tenant van de Klant. Optionele OCR kan gegevens uit compliancedocumenten halen.

13.2 Door AI gegenereerde scores, samenvattingen en aanbevelingen zijn beslissingsondersteuning. De Klant moet passend menselijk toezicht organiseren en mag die uitkomsten niet behandelen als de enige grondslag voor besluiten met rechtsgevolgen of vergelijkbare aanmerkelijke gevolgen, tenzij een afzonderlijk rechtmatig proces is ingericht. Hudle gebruikt Persoonsgegevens van de Klant niet voor een ander doel en deelt die niet tussen tenants, behalve op gedocumenteerde instructies of een andere toepasselijke rechtmatige grondslag.

13.3 Of externe AI-aanbieders prompts bewaren of gegevens van de Klant gebruiken voor het trainen van modellen, en eventuele regiogebonden AI-verwerking, moet contractueel en technisch worden bevestigd vóór activering. Toezeggingen over beperkingen op training worden vastgelegd in de toepasselijke leveranciersvoorwaarden en de instructies van de Klant.

14. Delen door de Klant en Hudle Link

De Klant bepaalt de selectie, de ontvangers en de toegangsduur van kandidaatprofielen, cv’s en shortlists die via Hudle Link beschikbaar worden gesteld aan potentiële werkgevers of wervende opdrachtgevers. Waar dit is geconfigureerd, kunnen toegangsbeperkingen, tijdelijke links, identiteitsverificatie, anonimisering en toegangslogs worden toegepast. De Klant is verantwoordelijk voor het verifiëren van een passende rechtmatige grondslag en van instructies aan ontvangers voor dergelijke verstrekkingen.

15. Aansprakelijkheid en toepasselijk recht

De verdeling van aansprakelijkheid tussen partijen en de geschillenregeling worden beheerst door de Hoofdovereenkomst, onder voorbehoud van dwingende rechten en aansprakelijkheden op grond van de AVG en ander toepasselijk recht. Tenzij de Hoofdovereenkomst geldig anders bepaalt, wordt deze DPA beheerst door Nederlands recht en worden geschillen voorgelegd aan de bevoegde rechter in Nederland, zonder afbreuk te doen aan de bevoegdheid van de toepasselijke toezichthouder.

16. Wijzigingen en ondertekening

Wijzigingen van deze DPA worden schriftelijk overeengekomen of via een ander geldig contractueel proces. Bijlage 3 kan worden bijgehouden als actueel schema van subverwerkers, onderworpen aan artikel 6. Een ondertekende Hoofdovereenkomst kan deze DPA door verwijzing van toepassing verklaren. Wanneer een afzonderlijke ondertekening vereist is, kunnen partijen de onderstaande velden gebruiken.

Bijlage 1 — Beschrijving van de verwerking

Bijlage 2 — Technische en organisatorische maatregelen

Het volgende beschrijft de contractuele aandachtsgebieden voor beveiligingsmaatregelen. Vóór ondertekening moet Hudle bevestigen dat elke maatregel feitelijk is ingevoerd en de operationele details waar passend documenteren. Er wordt geen certificering of absoluut beveiligingsniveau gesteld.

• Scheiding van tenants: logisch gescheiden klantomgevingen en maatregelen die zijn bedoeld om toegang tussen tenants te voorkomen; gedeelde infrastructuur kan worden gebruikt met passende isolatie.
• Identiteit en toegang: rolgebaseerde rechten, toegang volgens minimale rechten, geauthenticeerde sessies, governance van beheerderstoegang en intrekking wanneer toegang niet langer nodig is.
• Netwerk- en applicatiebescherming: passende versleutelde verzending, veilige ontwikkelpraktijken, beheer van afhankelijkheden en kwetsbaarheden, en toegangscontroles op API-niveau.
• Gegevensbescherming: toegangsbeperkingen, passende versleutelings- en opslagmaatregelen, minimalisatie en een passende omgang met cv’s, identiteitsdocumenten en VOG-gerelateerde registraties.
• Monitoring: logging voor beheer en beveiliging en mogelijkheden voor onderzoek, waarbij toegang tot logs beperkt is tot bevoegd personeel en de bewaring evenredig is.
• Incidentbeheer: identificatie, triage, inperking, herstel, veiligstellen van bewijs en procedures voor kennisgeving.
• Continuïteit: evenredige back-ups, het testen van herstel en herstelprocedures met gedocumenteerde cycli voor verwijdering en bewaring.
• Mensen en leveranciers: geheimhoudingsplichten, een passende beoordeling van personentoegang, due diligence van derden en gedocumenteerde verplichtingen van subverwerkers.
• AI en OCR: autorisatie met besef van de tenant, gedocumenteerde service-eindpunten en leveranciersinstellingen, beoordeling van de voorwaarden van de aanbieder over bewaring en modeltraining, en waarborgen tegen onbedoelde verstrekking.

Bijlage 3 — Schema van subverwerkers

Het bestaande beleid van Hudle benoemt categorieën van mogelijke leveranciers, maar stelt niet vast welke specifieke leveranciers op dit moment Persoonsgegevens van de Klant in productie verwerken. Deze bijlage moet vóór de onboarding van klanten worden ingevuld met geverifieerde aanbieders. Lege vermeldingen geven geen toestemming voor een niet-geïdentificeerde internationale doorgifte. Aanbieders die in de applicatieconfiguratie zijn geïdentificeerd, staan in het openbare register van subverwerkers.

Bijlage 4 — Punten vóór ondertekening

• Bevestig de rechtspersoon en de tekenbevoegdheid zolang Hudle B.V. in oprichting is.
• Verifieer dat B. Amsterdam B.1 het juiste correspondentieadres is, en niet noodzakelijk een statutaire zetel.
• Verifieer privacy@hudle.nl, de officiële contactroutes voor support en beveiliging, en de meest recente privacyverklaring.
• Vul het register van subverwerkers per aanbieder in, met regio’s en toepasselijke doorgiftewaarborgen.
• Bevestig de live technische en organisatorische maatregelen en de security operations, met inbegrip van de praktijk voor het verwijderen van back-ups, de reikwijdte van audits en de feitelijke functionaliteit.
• Stel een redelijke procedure vast en publiceer die voor voorafgaande kennisgeving van en bezwaar tegen subverwerkers, en leg de parameters voor export en verwijdering vast.
• Verifieer het beleid van de AI-aanbieder over bewaring van prompts en gegevens, training, subverwerkers en toegang buiten de EER.