Verwerkingsovereenkomst
1. Inleiding en reikwijdte
Applyfin B.V., een besloten vennootschap met beperkte aansprakelijkheid naar Nederlands recht, statutair gevestigd te Utrecht en kantoorhoudend aan de Wittevrouwenstraat 38B, 3512 CV Utrecht, Nederland, ingeschreven in het handelsregister van de Kamer van Koophandel onder nummer 92570968 (hierna: Applyfin), is een gecombineerde Recruitment Process Outsourcing (RPO)- en ATS-dienstverlener.
Applyfin exploiteert een multi-tenant SaaS Applicant Tracking System waarmee werkgevers hun werving- en selectieproces beheren, en voert daarnaast, geheel of gedeeltelijk, werving- en selectieactiviteiten uit namens haar klanten. Bij het leveren van het Platform en de daarmee verbonden dienstverlening verwerkt Applyfin persoonsgegevens namens die klanten. Deze verwerkersovereenkomst legt vast onder welke voorwaarden dat gebeurt, zoals artikel 28 lid 3 AVG voorschrijft.
1.1 Deze verwerkersovereenkomst (hierna: Verwerkersovereenkomst) is van toepassing op:
alle persoonsgegevens die Applyfin binnen de Company van de Klant verwerkt, waaronder gegevens van sollicitanten, geshortliste kandidaten, referenten, talentpool-deelnemers en Gebruikers;
de zoekopdrachten en screenings die Applyfin op instructie van de Klant uitvoert bij de Dataleverancier, en de tijdelijke opslag van de resultaten daarvan;
de carrièrepagina's die Applyfin namens de Klant host, met inbegrip van de verwerkingen die daarbij plaatsvinden ten aanzien van bezoekers;
de beheerde uitvoering (RPO) en de add-ons die de Klant afneemt, met inbegrip van wervingshandelingen die medewerkers van Applyfin namens de Klant verrichten.
1.2 Applyfin hanteert drie samenhangende documenten:
De algemene voorwaarden regelen de commerciële en gebruiksafspraken tussen de Klant en Applyfin: pakketten, tarieven, looptijd, aansprakelijkheid en beëindiging.
Deze Verwerkersovereenkomst regelt de verwerking van persoonsgegevens. Zij is een Bijlage bij de algemene voorwaarden en komt op hetzelfde moment tot stand.
Het Privacy- en Informatiebeveiligingsbeleid legt aan betrokkenen uit hoe Applyfin met hun gegevens omgaat, en werkt de beveiligingsmaatregelen en de AI-governance nader uit.
1.3 De rolverdeling tussen Partijen is afgebakend in artikel 4.
1.4 In geval van strijdigheid prevaleert deze Verwerkersovereenkomst boven alle andere documenten die deel uitmaken van de Overeenkomst, met inbegrip van de Offerte en de SLA, uitsluitend voor zover het de bescherming van persoonsgegevens betreft (artikel 4.3 van de algemene voorwaarden). Voor het overige geldt de rangorde van artikel 4.2 van de algemene voorwaarden.
1.5 Het Privacy- en Informatiebeveiligingsbeleid geldt als nadere uitwerking van deze Verwerkersovereenkomst. Verwijzingen in dit document naar secties daarvan zijn bedoeld als uitwerking en niet als beperking van de hier vastgelegde verplichtingen.
2. Definities
2.1 Begrippen die in deze Verwerkersovereenkomst met een hoofdletter zijn geschreven — waaronder Balans, Bijlagen, Company, Consent-functionaliteit, Credit, Dataleverancier, Gebruiker, Job Slot, Klant, Offerte, Overeenkomst, Pakket, Partijen, Platform, Prijzenpagina, Privacy- en Informatiebeveiligingsbeleid en SLA — hebben de betekenis die daaraan in artikel 2 van de algemene voorwaarden is gegeven.
2.2 Begrippen uit de AVG, waaronder persoonsgegevens, verwerking, verwerkingsverantwoordelijke, verwerker, betrokkene en datalek, hebben de betekenis die de AVG daaraan geeft.
2.3 Onder AVG wordt verstaan Verordening (EU) 2016/679, alsmede de Nederlandse uitvoeringswetgeving. Onder AI Act wordt verstaan Verordening (EU) 2024/1689.
3. Partijen en totstandkoming
3.1 Deze Verwerkersovereenkomst wordt aangegaan tussen:
Applyfin, zoals omschreven in artikel 1, handelend als verwerker; en
de Klant, zoals nader bepaald in artikel 3.3, handelend als verwerkingsverantwoordelijke,
hierna gezamenlijk aangeduid als Partijen en ieder afzonderlijk als Partij.
3.2 De Verwerkersovereenkomst komt tot stand op hetzelfde moment als de Overeenkomst: bij het aanmaken van de Company, dan wel bij aanvaarding van de Offerte (artikel 3.1 en 21.2 van de algemene voorwaarden).
3.3 De Klant is de onderneming of rechtspersoon voor wie de Company is aangemaakt of met wie Applyfin anderszins een Overeenkomst is aangegaan, zoals geïdentificeerd bij de registratie van de Company of in de Offerte, met de daarbij opgegeven statutaire naam, vestigingsadres en handelsregisternummer. Degene die de Company aanmaakt of de Offerte aanvaardt, verklaart bevoegd te zijn de Klant te binden.
3.4 Applyfin stelt deze Verwerkersovereenkomst voorafgaand aan de aanvaarding langs elektronische weg ter beschikking op een wijze waarop de Klant deze kan opslaan en later kan raadplegen (artikel 6:234 BW), en legt van iedere aanvaarding het versienummer, het tijdstip en de aanvaardende Gebruiker vast (artikel 3.3 en 3.4 van de algemene voorwaarden).
4. Rolverdeling
4.1 Applyfin als verwerker. Applyfin treedt op als verwerker voor alle persoonsgegevens die zij namens de Klant verwerkt. De Klant is voor die verwerkingen verwerkingsverantwoordelijke en bepaalt doel, grondslag en bewaartermijn.
4.2 Zoekopdrachten, screening en shortlisting. Applyfin houdt geen eigen kandidatenbestand aan. Wordt binnen het Platform een zoekopdracht uitgevoerd voor een vacature, of wordt een sollicitant of kandidaat gescreend, dan bevraagt Applyfin op dat moment en op instructie van de Klant de Dataleverancier. Bij een self-serve Pakket worden de zoekopdracht, de screening en de selectie verricht door de Klant; bij beheerde uitvoering verricht Applyfin deze handelingen namens de Klant, met de gevolgen die artikel 4.8 daaraan verbindt. Applyfin is voor de bevraging, voor de tijdelijke opslag van de resultaten bedoeld in artikel 4.3, en voor het aanmaken van de records van de geselecteerde kandidaten binnen de Company, verwerker onder artikel 4.1. Er is geen fase waarin Applyfin voor die gegevens zelfstandig verwerkingsverantwoordelijke is.
4.3 Tijdelijke opslag van zoekresultaten. Resultaten van een zoekopdracht worden gedurende ten hoogste dertig minuten opgeslagen in een tijdelijke cache buiten de Company, uitsluitend om een herhaalde bevraging van de Dataleverancier te voorkomen. Na afloop van die termijn worden zij automatisch en onherroepelijk gewist. Resultaten die niet worden geselecteerd, worden niet in de Company opgeslagen.
4.4 Applyfin als zelfstandig verwerkingsverantwoordelijke. Applyfin is zelfstandig verwerkingsverantwoordelijke voor:
a. de onderdrukkingslijst waarmee Applyfin een door een betrokkene ingeroepen bezwaar duurzaam en over al haar klanten heen effectueert. Deze lijst bevat uitsluitend een onomkeerbare hashwaarde van een e-mailadres of profiel-identifier en de datum van opname, en wordt bij iedere zoekopdracht toegepast op de resultaten. Applyfin houdt deze verwerking noodzakelijkerwijs buiten de Company, omdat een bezwaar anders alleen zou gelden bij de Klant bij wie het is ingediend;
b. de gegevens van de Klant en zijn Gebruikers die Applyfin voor haar eigen bedrijfsvoering verwerkt, waaronder account-, authenticatie-, facturatie- en contractgegevens, die worden opgeslagen in de centrale database van Applyfin en niet binnen de Company;
c. systeem- en beveiligingslogs die Applyfin genereert ten behoeve van beveiliging, stabiliteit en traceerbaarheid;
d. geaggregeerde gegevens die niet tot een natuurlijke persoon of tot de Klant herleidbaar zijn, voor zover Applyfin die gebruikt voor statistiek en verbetering van haar dienstverlening (artikel 23.4 van de algemene voorwaarden). Deze gegevens zijn geanonimiseerd in de zin van overweging 26 AVG en vallen buiten het bereik van artikel 4.1.
4.5 Partijen zijn geen gezamenlijke verwerkingsverantwoordelijken in de zin van artikel 26 AVG.
4.6 Applyfin bepaalt niet zelfstandig het doel of de middelen van de verwerkingen bedoeld in artikel 4.1. Doet zij dat toch, dan geldt zij voor die verwerking als verwerkingsverantwoordelijke (artikel 28 lid 10 AVG).
4.7 Verantwoordelijkheid naar feitelijk handelen. Binnen de rolverdeling van dit artikel geldt dat de Partij die een verwerking, oplevering of ingreep feitelijk uitvoert, daarvoor de verantwoordelijkheid draagt. Applyfin draagt daarmee de verantwoordelijkheid voor de technische inrichting en standaardinstellingen van het Platform, de Consent-functionaliteit zoals door haar opgeleverd (artikel 6.6 van de algemene voorwaarden), de AI-toepassingen en geautomatiseerde workflows die zij levert en uitvoert, en de aanpassingen die zij in het kader van support verricht. De Klant draagt de verantwoordelijkheid voor de gegevens die hij zelf invoert of laat invoeren, zijn eigen configuratiekeuzes, zijn eigen integraties en API-koppelingen, en de rechtmatigheid van de door hem ingevoerde gegevens. Welke handelingen door welke Partij zijn verricht, wordt vastgelegd in de activiteitslogs van het Platform.
4.8 Uitvoering door Applyfin binnen de beheerde uitvoering (RPO). Neemt de Klant beheerde uitvoering af, dan verrichten medewerkers van Applyfin namens hem wervingshandelingen binnen zijn Company, waaronder het opstellen en uitvoeren van zoekopdrachten, het selecteren en shortlisten van kandidaten, screening, en het benaderen van en corresponderen met kandidaten. Deze handelingen worden op grond van artikel 4.7 aan Applyfin toegerekend.
De verantwoordelijkheid van de Klant is in dat geval beperkt tot: het verstrekken van de opdracht en de vacature-eisen, het bepalen van doel, grondslag en bewaartermijn, zijn eigen configuratiekeuzes, en de gegevens die hij zelf of via zijn eigen Gebruikers invoert. Applyfin draagt de verantwoordelijkheid voor de rechtmatige uitvoering van de door haar medewerkers verrichte handelingen, waaronder de naleving van de informatieplicht van artikel 14 AVG bij het eerste contact met een kandidaat, de toepassing van de onderdrukkingslijst, en het niet verwerken van gegevens die buiten de opdracht vallen.
Deze verdeling laat onverlet dat de Klant jegens de betrokkene en de toezichthouder verwerkingsverantwoordelijke blijft; zij werkt tussen Partijen onderling, met inbegrip van de vrijwaring in artikel 15.3.
4.9 Informatieplicht bij self-serve gebruik. Benadert de Klant zelf een via een zoekopdracht gevonden kandidaat, dan draagt hij de verantwoordelijkheid voor de naleving van de informatieplicht van artikel 14 AVG bij dat eerste contact. Applyfin stelt daartoe binnen het Platform standaardteksten en functionaliteit beschikbaar waarmee de vereiste informatie, waaronder de vermelding van de bron van de gegevens en een verwijzing naar het Privacy- en Informatiebeveiligingsbeleid, in het eerste bericht wordt opgenomen. De toepassing van de onderdrukkingslijst geschiedt in alle gevallen door Applyfin.
5. Onderwerp, aard, doel en duur
5.1 Applyfin verwerkt namens de Klant persoonsgegevens ten behoeve van het ter beschikking stellen van het Platform, het hosten van de carrièrepagina's van de Klant en, indien afgenomen, de beheerde uitvoering (RPO) en de add-ons.
5.2 De aard van de verwerking betreft het verzamelen, opslaan, raadplegen, gebruiken, doorzenden, combineren, verrijken, beperken, wissen en anonimiseren van gegevens, het op instructie van de Klant bevragen van de Dataleverancier en het tijdelijk opslaan van de resultaten daarvan (artikel 4.2 en 4.3), het plaatsen en uitlezen van cookies en vergelijkbare technieken op de carrièrepagina's die Applyfin namens de Klant host, alsmede — voor zover door de Klant geactiveerd — AI-ondersteunde functionaliteit als bedoeld in artikel 11.
5.3 Het doel is uitsluitend werving en selectie ten behoeve van de Klant. Applyfin verwerkt de in artikel 4.1 bedoelde persoonsgegevens voor geen enkel ander doel. Dit laat de verwerkingen onverlet waarvoor Applyfin op grond van artikel 4.4 zelfstandig verwerkingsverantwoordelijke is.
5.4 De verwerking duurt zolang de Overeenkomst van kracht is, en daarna tot teruggave of verwijdering conform artikel 13.7.
6. Categorieën betrokkenen en persoonsgegevens
6.1 Applyfin verwerkt namens de Klant persoonsgegevens van de volgende betrokkenen:
a. Sollicitanten — vanaf indiening van een sollicitatie op een vacature van de Klant: NAW- en contactgegevens, geboortedatum, cv en motivatie, opleidings- en arbeidsverleden, vaardigheden, locatie-indicatie, sollicitatie- en procesgegevens, correspondentie en screening- en assessmentresultaten. Laat de Klant een sollicitant screenen als bedoeld in artikel 4.2, dan worden daarnaast aanvullende professionele profielgegevens en de bron daarvan verwerkt.
b. Via een zoekopdracht gevonden en geshortliste kandidaten — vanaf selectie door de Klant, dan wel bij beheerde uitvoering door Applyfin namens de Klant, en opname in de Company met het oog op benadering voor een vacature: naam, functie en werkgever, arbeidsverleden, opleidingsachtergrond, vaardigheden, locatie-indicatie, verwijzing naar het publieke profiel, verrijkte contactgegevens waaronder e-mailadres en telefoonnummer, de bron van de gegevens, en outreach- en procesgegevens en correspondentie. Niet-geselecteerde zoekresultaten worden uitsluitend tijdelijk verwerkt conform artikel 4.3.
c. Referenten — vanaf opgave als referentie door een sollicitant of kandidaat: naam, relatie tot de betrokkene, zakelijke contactgegevens en de referentie en bijbehorende correspondentie.
d. Talentpool-deelnemers — vanaf opname in een talentpool op grond van toestemming: de onder a of b genoemde gegevens, aangevuld met talentpool-voorkeuren en consent-gegevens (tijdstip, reikwijdte en intrekking).
e. Gebruikers van de Klant — de recruiters en overige medewerkers aan wie de Klant toegang tot de Company verleent: naam en zakelijke contactgegevens, rol en autorisatie en activiteitslogs, voor zover Applyfin deze binnen de Company verwerkt. Voor de account-, authenticatie- en facturatiegegevens van Gebruikers is Applyfin zelfstandig verwerkingsverantwoordelijke (artikel 4.4 sub b).
f. Bezoekers van de carrièrepagina's van de Klant — voor zover Applyfin op die pagina's namens de Klant gegevens verwerkt die als persoonsgegevens kwalificeren: IP-adres, apparaat- en browsergegevens, sessie- en bezoekgegevens en de vastgelegde toestemming. De Klant is voor deze verwerking verwerkingsverantwoordelijke en bepaalt via de Consent-functionaliteit welke niet-noodzakelijke technieken worden ingezet. Verwerkingen op basis van geanonimiseerde gegevens vallen hierbuiten.
6.2 Applyfin verwerkt geen bijzondere categorieën persoonsgegevens als bedoeld in artikel 9 AVG, tenzij de Klant daarvoor een geldige grondslag heeft en Partijen daarover een aanvullende schriftelijke afspraak hebben gemaakt.
7. Instructie en geheimhouding
7.1 Applyfin verwerkt uitsluitend op gedocumenteerde instructie van de Klant. De Overeenkomst, de configuratie van de Company en het gebruik door de Klant en zijn Gebruikers gelden als die instructie.
7.2 Acht Applyfin een instructie strijdig met de AVG of andere toepasselijke wetgeving inzake gegevensbescherming, dan meldt zij dit onverwijld aan de Klant en is zij niet gehouden die instructie uit te voeren.
7.3 Personen die onder het gezag van Applyfin toegang hebben tot de persoonsgegevens zijn tot geheimhouding verplicht, op basis van least-privilege en need-to-know.
7.4 De geheimhoudingsplicht van artikel 20 van de algemene voorwaarden is onverkort van toepassing. De beperking in de tijd van artikel 20.4 van de algemene voorwaarden geldt niet voor persoonsgegevens; de geheimhouding is voor die gegevens niet in duur beperkt.
8. Beveiliging (artikel 32 AVG)
8.1 Applyfin treft passende technische en organisatorische maatregelen, waaronder een geïsoleerde database per Company met omgeving-gebonden toegang, versleuteling in transit en at rest, per Company gescheiden en versleutelde back-ups, multi-factor authenticatie voor productietoegang, centrale logging en monitoring, en periodieke kwetsbaarheidsscans en penetratietests.
8.2 De volledige uitwerking van deze maatregelen is opgenomen in sectie 8 van het Privacy- en Informatiebeveiligingsbeleid. Applyfin actualiseert deze maatregelen periodiek; wijzigingen verlagen het beveiligingsniveau niet.
8.3 Gegevens van de ene Company worden niet gedeeld met, ontsloten aan of gebruikt voor de doeleinden van een andere Company. AI-modellen binnen het Platform worden niet getraind op klantdata die over Companies heen wordt samengevoegd.
8.4 In afwijking van de opslag binnen de Company worden de tijdelijke cache (artikel 4.3) en de onderdrukkingslijst (artikel 4.4 sub a) buiten de Company gehouden. De cache bevat uitsluitend resultaten van een lopende zoekopdracht van de betreffende Klant en geen gegevens uit een Company; de onderdrukkingslijst bevat uitsluitend de gegevens genoemd in artikel 4.4 sub a. Geen van beide wordt gebruikt voor de doeleinden van een andere Klant.
9. Subverwerkers
9.1 De Klant verleent Applyfin algemene schriftelijke toestemming voor het inschakelen van subverwerkers (artikel 28 lid 2 AVG). Een actueel overzicht van de ingeschakelde subverwerkers is op verzoek beschikbaar; de categorieën staan vermeld in sectie 7 onder B van het Privacy- en Informatiebeveiligingsbeleid. Tot die subverwerkers behoort in elk geval de Dataleverancier die Applyfin op instructie van de Klant bevraagt (artikel 4.2).
9.2 Applyfin informeert de Klant ten minste dertig dagen voor de beoogde ingangsdatum over de toevoeging of vervanging van een subverwerker. De Klant kan hiertegen binnen veertien dagen na de aankondiging op redelijke gronden schriftelijk bezwaar maken.
9.3 Komen Partijen binnen veertien dagen na het bezwaar niet tot een oplossing, dan kan de Klant de Overeenkomst schriftelijk opzeggen tegen de beoogde ingangsdatum van de wijziging. Wordt binnen die termijn geen oplossing bereikt en zegt de Klant niet op, dan schort Applyfin de inzet van de betreffende subverwerker voor de Klant op totdat Partijen alsnog overeenstemming bereiken, voor zover dat technisch en operationeel mogelijk is. Op een opzegging is artikel 28 van de algemene voorwaarden van toepassing; reeds verschuldigde bedragen blijven verschuldigd.
9.4 Applyfin legt iedere subverwerker dezelfde verplichtingen op als die in deze Verwerkersovereenkomst zijn opgenomen (artikel 28 lid 4 AVG) en blijft jegens de Klant volledig aansprakelijk voor de nakoming door die subverwerker.
10. Bijstand, rechten van betrokkenen en datalekken
10.1 Applyfin verleent de Klant, rekening houdend met de aard van de verwerking en de haar ter beschikking staande informatie, redelijke bijstand bij verzoeken van betrokkenen (artikelen 12 tot en met 23 AVG) en bij de verplichtingen van de Klant uit de artikelen 32 tot en met 36 AVG. Voor het afhandelen van verzoeken is functionaliteit in het Platform beschikbaar.
10.2 Verzoeken van betrokkenen die Applyfin rechtstreeks bereiken en die betrekking hebben op verwerkingen onder artikel 4.1, leidt zij onverwijld door naar de Klant. Verzoeken die betrekking hebben op verwerkingen onder artikel 4.4 handelt Applyfin zelf af, conform sectie 10 van het Privacy- en Informatiebeveiligingsbeleid. Een door een betrokkene ingeroepen bezwaar tegen benadering effectueert Applyfin daarnaast zelfstandig en doorlopend via de onderdrukkingslijst (artikel 4.4 sub a), zodat de betrokkene ook bij zoekopdrachten van andere klanten niet opnieuw in de resultaten verschijnt. Deze toepassing van de onderdrukkingslijst laat de beoordeling van het bezwaar door de Klant als verwerkingsverantwoordelijke onverlet.
10.3 Bij een datalek of het vermoeden daarvan informeert Applyfin de Klant zonder onredelijke vertraging en uiterlijk binnen vierentwintig uur na kennisname, met de informatie die de Klant nodig heeft voor zijn meldplicht (artikelen 33 en 34 AVG).
10.4 Voor verwerkingen onder artikel 4.1 meldt Applyfin niet zelfstandig aan de Autoriteit Persoonsgegevens of aan betrokkenen, tenzij Partijen schriftelijk anders overeenkomen; die melding is aan de Klant als verwerkingsverantwoordelijke. Voor verwerkingen onder artikel 4.4 doet Applyfin de melding zelf, binnen de wettelijke termijn van tweeënzeventig uur.
10.5 Na kennisname van een datalek of het vermoeden daarvan treft Applyfin onverwijld passende technische en organisatorische maatregelen om het datalek te beëindigen en te herstellen, dan wel de nadelige gevolgen daarvan te beperken, en informeert zij de Klant over de reeds getroffen en de nog te treffen maatregelen.
10.6 De Klant informeert Applyfin op zijn beurt onverwijld bij een datalek of AVG-overtreding binnen zijn Company die Applyfin of haar dienstverlening raakt.
11. Kunstmatige intelligentie en geautomatiseerde besluitvorming
11.1 Voor zover de Klant AI-functionaliteit binnen het Platform activeert, verwerkt Applyfin de daarbij betrokken persoonsgegevens uitsluitend binnen de instructie van artikel 7.1. De inzet van AI vormt geen zelfstandig doel van Applyfin.
11.2 Er vindt geen besluitvorming plaats die uitsluitend is gebaseerd op geautomatiseerde verwerking en die voor de betrokkene rechtsgevolgen heeft of hem anderszins in aanmerkelijke mate treft (artikel 22 AVG). AI-uitkomsten ondersteunen de recruiter; iedere beslissing over een kandidaat vereist menselijke beoordeling en bekrachtiging.
11.3 Applyfin is provider en de Klant is deployer in de zin van de AI Act, zoals nader bepaald in artikel 22 van de algemene voorwaarden en sectie 9 van het Privacy- en Informatiebeveiligingsbeleid. De inzet van AI wordt gelogd en is voor de Klant beschikbaar ter onderbouwing van zijn eigen verantwoording (artikel 12 AI Act).
11.4 De Klant zet het Platform niet in voor onder de AI Act verboden toepassingen (artikel 5 AI Act en artikel 22.3 van de algemene voorwaarden).
12. Doorgifte buiten de EER
12.1 De primaire infrastructuur van Applyfin wordt gehost binnen de Europese Unie.
12.2 Doorgifte van persoonsgegevens naar een land buiten de Europese Economische Ruimte vindt uitsluitend plaats op gedocumenteerde instructie van de Klant, op grond van een wettelijke verplichting, of doordat Applyfin een subverwerker inschakelt conform artikel 9, en in alle gevallen met passende waarborgen als bedoeld in hoofdstuk V AVG, waaronder de modelcontractbepalingen (Standard Contractual Clauses) of een adequaatheidsbesluit, waar nodig aangevuld met aanvullende maatregelen. Bij de aankondiging bedoeld in artikel 9.2 vermeldt Applyfin of de betreffende subverwerker gegevens buiten de EER verwerkt en op welke grondslag.
13. Bewaring, teruggave en verwijdering
13.1 Bewaartermijnen. Bewaartermijnen worden vastgesteld door de Klant als verwerkingsverantwoordelijke, binnen de grenzen van de AVG en op basis van een geldige grondslag. Applyfin verwijdert, anonimiseert of pseudonimiseert persoonsgegevens conform de door de Klant vastgestelde termijnen en instructie.
13.2 Standaardtermijnen. Bij gebreke van een afwijkende instructie of instelling hanteert Applyfin de volgende standaardtermijnen:
a. sollicitantgegevens: vier weken na afronding van de procedure, of één jaar indien de betrokkene daarmee heeft ingestemd, conform de richtlijn van de Autoriteit Persoonsgegevens;
b. geshortliste kandidaten die niet worden benaderd: maximaal één maand na plaatsing op de shortlist, waarna de gegevens worden verwijderd of geanonimiseerd;
c. geshortliste kandidaten die wel zijn benaderd en niet hebben gereageerd: maximaal zes maanden na het eerste benaderingsmoment;
d. talentpool-deelnemers: maximaal twee jaar na het laatste contact of de laatste actualisatie, met een herbevestigingsmoment voor het einde van die periode.
Sectie 6 onder B van het Privacy- en Informatiebeveiligingsbeleid verwijst voor deze termijnen naar dit artikel.
13.3 Grens aan afwijkende instructie. Een instructie van de Klant om geshortliste kandidaten die niet zijn benaderd langer te bewaren dan de termijn van artikel 13.2 sub b, merkt Applyfin aan als strijdig met de informatieplicht van artikel 14 lid 3 AVG. Applyfin meldt dit aan de Klant en voert die instructie niet uit, overeenkomstig artikel 7.2.
13.4 Niet-geselecteerde zoekresultaten worden verwerkt en gewist conform artikel 4.3; daarop is dit artikel voor het overige niet van toepassing.
13.5 Verzoek van de betrokkene. Heeft een betrokkene om verwijdering verzocht of zijn toestemming ingetrokken, dan verwijdert Applyfin op instructie van de Klant alle op die betrokkene betrekking hebbende persoonsgegevens binnen de Company, ongeacht de termijnen van artikel 13.2. Bereikt het verzoek Applyfin rechtstreeks, dan geldt artikel 10.2.
13.6 Verwerkingsgebonden verwijdering. Op verzoek van de Klant richt Applyfin, zonder meerkosten, verwerkingsgebonden verwijdering in: zodra een verwerking is afgerond, waaronder de sluiting van een vacature, worden de daaraan gebonden persoonsgegevens verwijderd of geanonimiseerd, behoudens gegevens die de Klant op een geldige grondslag langer wenst te bewaren.
13.7 Teruggave en verwijdering na afloop van de Overeenkomst. Na het einde van de Overeenkomst wist Applyfin de namens de Klant verwerkte persoonsgegevens, dan wel bezorgt zij deze aan de Klant terug, naar keuze van de Klant (artikel 28 lid 3 sub g AVG). De Klant maakt die keuze uiterlijk dertig dagen na de beëindigingsdatum, overeenkomstig artikel 28.3 en 28.4 van de algemene voorwaarden. Maakt de Klant binnen die termijn geen keuze, dan wist Applyfin de gegevens.
Applyfin verwijdert daarbij ook bestaande kopieën, tenzij het Unierecht of het Nederlandse recht opslag van de gegevens voorschrijft. Kopieën in back-ups worden verwijderd bij het verstrijken van de reguliere back-upretentie en zijn tot dat moment uitsluitend toegankelijk voor herstel na een incident. Op verzoek van de Klant bevestigt Applyfin de verwijdering schriftelijk.
Een opschorting van de toegang op grond van artikel 13 of artikel 27 van de algemene voorwaarden leidt niet tot verwijdering van gegevens en doet de termijnen van dit artikel niet ingaan.
13.8 Reikwijdte van de teruggave. De teruggave omvat alle persoonsgegevens die de Klant heeft ingevoerd of die binnen zijn Company zijn ontstaan, waaronder de identificerende gegevens van geshortliste kandidaten, de door verrijking toegevoegde contactgegevens, en alle status-, proces- en correspondentiegegevens.
Van de teruggave zijn uitgesloten de velden die Applyfin onder licentie van de Dataleverancier betrekt en die zij op grond van die licentie niet aan derden mag verstrekken: arbeidsverleden, opleidingsgeschiedenis, headline, samenvattingstekst, vaardigheden en arbeidsmarktsignalen (artikel 18.4 van de algemene voorwaarden). Deze uitsluiting berust op de licentievoorwaarden van de Dataleverancier en niet op een grond uit de AVG; zij laat de rechten van de betrokkene onverlet. Verzoekt een betrokkene om inzage of overdraagbaarheid van zijn eigen gegevens (artikelen 15 en 20 AVG), dan verstrekt Applyfin ook deze velden.
Applyfin informeert de Klant bij aanvang over welke velden onder deze uitsluiting vallen en meldt wijzigingen daarin conform artikel 9.2.
13.9 Wettelijke bewaarplicht. Voor gegevens waarvoor een wettelijke bewaarplicht geldt, geldt die wettelijke termijn en bewaart Applyfin de gegevens gepseudonimiseerd, uitsluitend voor het doel waarvoor de bewaarplicht is gesteld.
14. Audits
14.1 Applyfin stelt de Klant de informatie ter beschikking die nodig is om de naleving van artikel 28 AVG aan te tonen en werkt mee aan audits.
14.2 Applyfin mag een auditverzoek eerst beantwoorden met documentatie, rapportages van kwetsbaarheidsscans en penetratietests, en beschikbare certificeringen. Sectie 8 van het Privacy- en Informatiebeveiligingsbeleid beschrijft de stand van het informatiebeveiligingsbeleid van Applyfin op het moment van publicatie.
14.3 Biedt dit redelijkerwijs onvoldoende zekerheid, dan kan een audit ter plaatse plaatsvinden, ten hoogste eenmaal per twaalf maanden, na ten minste dertig dagen aankondiging, tijdens kantooruren, door een onafhankelijke auditor die aan geheimhouding is gebonden, en met inachtneming van de data-isolatie van andere klanten.
14.4 De Klant draagt de eigen auditkosten. Legt een toezichthouder een audit op, dan werkt Applyfin daaraan mee binnen de door de toezichthouder gestelde termijn.
15. Aansprakelijkheid
15.1 Elke Partij is aansprakelijk voor schade, boetes en claims die voortvloeien uit een toerekenbare tekortkoming aan haar zijde, conform de verdeling in artikel 4.7, 4.8 en 4.9 van deze Verwerkersovereenkomst en artikel 24.1 van de algemene voorwaarden.
15.2 Eigen tekortkomingen van Applyfin. Applyfin draagt de verantwoordelijkheid voor een schending van de AVG die voortvloeit uit haar eigen handelen of nalaten, waaronder ontoereikende beveiligingsmaatregelen, een datalek aan haar zijde, verwerking buiten de instructie van de Klant, een tekortkoming in de door haar geleverde of ingeregelde onboarding, platforminrichting, Consent-functionaliteit, AI-toepassingen of workflows, en de handelingen bedoeld in artikel 4.8. Zij kan zich voor die tekortkomingen niet beroepen op de verantwoordelijkheid van de Klant als verwerkingsverantwoordelijke.
15.3 Vrijwaring. Applyfin vrijwaart de Klant tegen aanspraken van betrokkenen, derden en toezichthouders, en tegen bestuurlijke boetes, voor zover die aanspraken of boetes voortvloeien uit een tekortkoming als bedoeld in artikel 15.2. De Klant meldt een dergelijke aanspraak onverwijld, laat de verdediging in overleg met Applyfin voeren en treft geen schikking zonder haar voorafgaande schriftelijke instemming. De vrijwaring geldt niet voor zover de aanspraak is veroorzaakt door een instructie, configuratiekeuze of gegevensinvoer van de Klant, of door gebruik van het Platform in strijd met de Overeenkomst.
15.4 De aansprakelijkheid van Partijen uit hoofde van deze Verwerkersovereenkomst, met inbegrip van de vrijwaring van artikel 15.3, wordt beheerst door artikel 24.3 en artikel 24.4 van de algemene voorwaarden. Voor aansprakelijkheid wegens een datalek of een schending van de AVG geldt daarbij het afzonderlijke plafond van artikel 24.3, derde gedachtestreepje.
15.5 Op de vrijwaringen van artikel 25 van de algemene voorwaarden is dit artikel onverkort van toepassing; artikel 25.6 van de algemene voorwaarden bepaalt de verhouding tussen beide regelingen.
16. Duur, wijziging en nawerking
16.1 Deze Verwerkersovereenkomst geldt zolang de Overeenkomst van kracht is.
16.2 Applyfin mag deze Verwerkersovereenkomst wijzigen conform artikel 29 van de algemene voorwaarden. Wijzigingen die noodzakelijk zijn op grond van dwingend recht, een besluit van een toezichthouder of een uitspraak van een bevoegde rechter, kunnen met een kortere termijn ingaan.
16.3 Na het einde van de Overeenkomst blijven de artikelen 7 (instructie en geheimhouding), 10 (bijstand en datalekken), 13 (bewaring, teruggave en verwijdering), 14 (audits) en 15 (aansprakelijkheid) van kracht, en wel zolang Applyfin nog persoonsgegevens van de Klant onder zich heeft en, voor artikel 7 en 15, ook daarna.
16.4 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Artikel 32 van de algemene voorwaarden is van toepassing op geschillen.