Verwerkersovereenkomst

1. Onderwerp en duur

Wij verwerken persoonsgegevens alleen om de dienst te leveren, zoals beschreven in bijlage 1. Deze overeenkomst loopt zolang wij persoonsgegevens voor de klant verwerken.

2. Alleen op instructie

1. We verwerken de gegevens alleen op schriftelijke instructie van de klant. Het gebruik van de dienst door gebruikers (zoeken, berichten voorbereiden en versturen na hun akkoord) geldt als instructie.
2. Vinden we dat een instructie in strijd is met de AVG, dan laten we dat de klant direct weten.
3. We gebruiken de gegevens nooit voor eigen doeleinden en verkopen ze niet. We gebruiken ze niet om AI-modellen te trainen.

3. Zo min mogelijk opslaan

We slaan geen LinkedIn-profielen, zoekresultaten of berichtinhoud op. Die gegevens gaan alleen door onze systemen om de vraag van een gebruiker te beantwoorden. We bewaren alleen wat nodig is om de dienst te leveren: accounts en instellingen, versleutelde sleutels van koppelingen en technische logboeken zonder inhoud (maximaal 180 dagen).

4. Geheimhouding

Iedereen die bij ons toegang heeft tot de gegevens, heeft een geheimhoudingsplicht en krijgt alleen toegang als dat nodig is voor zijn werk.

5. Beveiliging

We nemen passende technische en organisatorische maatregelen, gezien de risico's. De belangrijkste staan in bijlage 2. We passen ze aan als de techniek of de risico's veranderen, zonder het niveau te verlagen.

6. Subverwerkers

1. De klant geeft toestemming voor de subverwerkers in bijlage 3.
2. Een nieuwe of andere subverwerker kondigen we minstens 30 dagen vooraf aan. De klant mag binnen die termijn met redenen bezwaar maken. Komen we er niet uit, dan mag de klant de overeenkomst opzeggen voor het deel dat de wijziging raakt.
3. We leggen elke subverwerker minstens dezelfde verplichtingen op als in deze overeenkomst, en blijven tegenover de klant verantwoordelijk voor hen.

7. Buiten de EU

We verwerken gegevens zo veel mogelijk in de EU. Gaan gegevens toch naar een land buiten de EU, dan alleen met een passende waarborg: een adequaatheidsbesluit van de Europese Commissie (zoals het EU-VS Data Privacy Framework) of de standaardcontractbepalingen van de EU.

8. Hulp bij rechten van betrokkenen

Krijgen we een verzoek van een betrokkene, bijvoorbeeld een kandidaat, dan sturen we het door naar de klant en reageren we niet zelf, tenzij de klant ons dat vraagt. We helpen de klant om binnen de wettelijke termijn te reageren.

9. Datalekken

1. Ontdekken we een inbreuk op de beveiliging die gevolgen heeft voor de gegevens van de klant, dan melden we dat zonder onnodige vertraging, en uiterlijk binnen 48 uur nadat we het ontdekten.
2. We geven daarbij wat we weten: wat er gebeurde, welke gegevens en hoeveel betrokkenen het raakt, de waarschijnlijke gevolgen en wat we doen om het op te lossen. Ontbreekt informatie, dan vullen we die aan zodra we haar hebben.
3. De klant beslist of het lek gemeld moet worden bij de Autoriteit Persoonsgegevens of bij betrokkenen.

10. Andere hulp aan de klant

We helpen de klant met een gegevensbeschermingseffectbeoordeling (DPIA) en met vragen van de toezichthouder, voor zover die over onze verwerking gaan.

11. Controle

We geven de klant de informatie die nodig is om te laten zien dat we ons aan deze overeenkomst houden. De klant mag eenmaal per jaar, of na een datalek, een audit laten doen door een onafhankelijke deskundige met geheimhoudingsplicht, na een aankondiging van minstens 30 dagen. De klant betaalt de audit, tenzij blijkt dat wij ons niet aan deze overeenkomst houden.

12. Einde

Na het einde van de overeenkomst verwijderen we binnen 30 dagen de gegevens die we voor de klant bewaren, tenzij de wet bewaren verplicht. Wil de klant ze eerst terug, dan leveren we ze in een gangbaar formaat. De verbinding met LinkedIn verbreken we bij het einde direct.

13. Aansprakelijkheid en overig

Voor aansprakelijkheid gelden de afspraken in onze algemene voorwaarden. Bij tegenstrijdigheid over de verwerking van persoonsgegevens gaat deze verwerkersovereenkomst voor. Nederlands recht is van toepassing.