Aanvullende overeenkomst inzake gegevensverwerking

Partijen. „Klant”: de in het Bestelformulier aangeduide organisatie (verwerkingsverantwoordelijke). „SkillCort”: SkillCort LLC, 7901 4th St N, Ste 300, St. Petersburg, FL 33702, USA (verwerker). Deze aanvullende overeenkomst inzake gegevensverwerking („DPA”) wordt opgenomen in de overeenkomst tussen de Klant en SkillCort en geldt vanaf de ingangsdatum van de Overeenkomst.

1. Onderwerp, duur, aard en doel

SkillCort verwerkt persoonsgegevens namens de Klant om het SkillCort-assessmentplatform te leveren: assessments aanbieden aan kandidaten, antwoorden en werkproefresultaten vastleggen, door de Klant geconfigureerd optioneel proctoring, beoordeling en rapportage. De verwerking duurt de looptijd van de Overeenkomst plus de verwijderingsperiode in artikel 8.

2. Categorieën betrokkenen en persoonsgegevens

• Betrokkenen: door de Klant uitgenodigde kandidaten en deelnemers; medewerkersgebruikers van de Klant.
• Persoonsgegevens: identiteits- en contactgegevens (naam, e-mail); assessmentantwoorden, geüploade bestanden en werkproefresultaten; technische gegevens (IP-adres, browser/apparaat, tijdstempels); beoordelingsresultaten en besluitregistraties; voor zover door de Klant ingeschakeld, proctoringgegevens (camerafoto's/-video, schermopnamen/-registraties, gedragsmatige integriteitsgebeurtenissen).
• Bijzondere categorieën: geen uitgevraagd — assessments mogen niet zo zijn opgezet dat ze gegevens van bijzondere categorieën uitlokken (Gebruiksvoorwaarden §5). Als de Klant identiteitscontrole inschakelt, worden de sessieselfie van de kandidaat, de afbeelding van het identiteitsdocument en een eventuele optionele door de organisatie aangeleverde referentiefoto verwerkt voor een naast-elkaarvergelijking door een bevoegd persoon, met afzonderlijke uitdrukkelijke toestemming van de kandidaat. Er vindt geen automatische gezichtsvergelijking, galerijzoekopdracht of vergelijking tussen kandidaten plaats, er wordt geen biometrisch gezichtssjabloon opgeslagen, en een met naam genoemde beoordelaar legt het identiteitsbesluit vast. De Klant erkent dat camera-/microfoonopnamen beeld en stem van een persoon bevatten en zal de vereisten voor bijzondere categorieën in zijn rechtsgebied beoordelen.

3. Gedocumenteerde instructies

SkillCort verwerkt persoonsgegevens uitsluitend op gedocumenteerde instructie van de Klant (de Overeenkomst, deze DPA en de configuratie van de Klant in het platform — waaronder welke proctoringfuncties zijn ingeschakeld en het bewaarvenster voor proctoringgegevens), tenzij dit wettelijk is voorgeschreven; in dat geval informeert SkillCort de Klant vóór de verwerking, tenzij de wet dat verbiedt. SkillCort informeert de Klant wanneer een instructie naar zijn oordeel in strijd is met het toepasselijke gegevensbeschermingsrecht.

4. Vertrouwelijkheid en personeel

Personen die bevoegd zijn persoonsgegevens te verwerken, zijn tot vertrouwelijkheid gehouden en benaderen gegevens op basis van need-to-know, minimale rechten en rollen.

5. Beveiliging (Art. 32)

SkillCort treft passende technische en organisatorische maatregelen, waaronder: versleuteling tijdens verzending en in rust; scheiding tussen tenants; op rollen gebaseerde toegangscontroles; niet-openbare opslag van proctoringmedia; dagelijkse back-ups; uitsluitend aanvullende audithistorie voor scores en besluiten; automatische verwijdering van proctoringmedia en gebeurtenissen met integriteitssignalen aan het einde van het geconfigureerde bewaarvenster voor media. Voor identiteitsbesluiten zonder media en voor auditdetails geldt het afzonderlijke venster voor assessmentgegevens. Een actuele beschrijving van de maatregelen is beschikbaar op skillcort.com/trust.

6. Subverwerkers

De Klant verleent algemene toestemming voor de subverwerkers die staan vermeld op skillcort.com/legal/subprocessors (Bijlage 1). SkillCort stelt de Klant ten minste 30 dagen van tevoren op de hoogte van voorgenomen toevoegingen of vervangingen; de Klant kan op redelijke gegevensbeschermingsgronden bezwaar maken, waarna partijen naar een oplossing zoeken en de Klant de betrokken dienst kan beëindigen als die niet wordt gevonden. SkillCort legt subverwerkers gegevensbeschermingsverplichtingen op die niet minder beschermend zijn dan deze DPA, en blijft aansprakelijk voor hun uitvoering.

SkillCort voert ten minste eenmaal per twaalf (12) maanden een gedocumenteerde beoordeling uit van elke wezenlijke subverwerker, en daarnaast na elke wezenlijke wijziging, elk bevestigd beveiligingsincident of elke andere gebeurtenis die het gegevensbeschermingsrisicoprofiel van de subverwerker redelijkerwijs raakt; de actuele beoordelingsregistratie wordt bijgehouden in het compliance-register voor leveranciers van SkillCort.

7. Internationale doorgiften

Platformgegevens worden gehost in de EU (Frankfurt). De gegevens zijn voor de exploitatie van de dienst vanuit de VS toegankelijk voor SkillCort (een Amerikaanse entiteit), en transactionele e-mail wordt in de VS verwerkt. Doorgiften vinden plaats op grond van: (a) voor gegevens uit de EU/EER — de modelcontractbepalingen (Module Twee: verwerkingsverantwoordelijke → verwerker, en Module Drie voor zover van toepassing), die volgens afspraak tussen partijen deel uitmaken van deze DPA, ondersteund door een doorgiftetoetsing en aanvullende maatregelen; (b) voor gegevens die onder het Turkse recht vallen — het standaardcontract dat de Turkse gegevensbeschermingsautoriteit heeft gepubliceerd op grond van Art. 9 van Wet nr. 6698, dat door partijen wordt gesloten bij het Bestelformulier voor verwerking die Türkiye betreft en binnen vijf werkdagen bij de Autoriteit wordt gemeld.

8. Verwijdering en teruggave

Na beëindiging of afloop kunnen de Klantgegevens tot 30 dagen beschikbaar blijven zodat de Klant de gegevensexport kan afronden. Na afloop van die periode verwijdert SkillCort de gegevens uit de actieve productiesystemen; restkopieën in versleutelde back-ups worden via de gewone back-upcyclus binnen maximaal 90 dagen verwijderd of overschreven. Registraties die op grond van toepasselijk recht vereist zijn, en registraties die strikt noodzakelijk zijn voor de instelling, uitoefening of verdediging van rechtsvorderingen, zijn uitgezonderd. Voor beveiligings-, toegangs- en auditlogboeken gelden de bewaartermijnen uit de Privacyverklaring, los van de back-ups. Proctoringmedia — waaronder identiteitsopnamen en de in de beoordeling gebruikte versies van de referentiefoto — en gebeurtenissen met integriteitssignalen worden automatisch verwijderd aan het einde van het door de Klant geconfigureerde bewaarvenster voor media (standaard 90 dagen), ongeacht de contractstatus. De Klant kan ook in het product een eerdere wissing van pogingsgebonden media en gebeurtenissen met integriteitssignalen in gang zetten. Voor identiteitsbesluiten zonder media, gegevens over de met naam genoemde beoordelaar, notities en verwijzingen naar verwijderde media geldt het afzonderlijke bewaarvenster voor assessmentgegevens.

9. Bijstand

Rekening houdend met de aard van de verwerking staat SkillCort de Klant met passende technische en organisatorische maatregelen bij in het beantwoorden van verzoeken van betrokkenen (Art. 12–23 AVG; Art. 11 KVKK) en bij de verplichtingen van de Klant op grond van Art. 32–36 AVG (beveiliging, melding van inbreuken, DPIA's, voorafgaande raadpleging). Verzoeken van betrokkenen die SkillCort rechtstreeks bereiken, worden zonder onnodige vertraging doorgestuurd naar de Klant.

10. Inbreuk in verband met persoonsgegevens

SkillCort stelt de Klant zonder onnodige vertraging op de hoogte nadat SkillCort kennis heeft gekregen van een inbreuk in verband met persoonsgegevens die de gegevens van de Klant raakt, en verstrekt de informatie die redelijkerwijs nodig is voor de meldplichten van de Klant (Art. 33–34 AVG; Art. 12(5) KVKK).

11. Audits

SkillCort stelt de informatie beschikbaar die nodig is om de naleving van deze DPA aan te tonen, en maakt audits, waaronder inspecties, door de Klant of een door hem aangewezen auditor mogelijk en draagt daaraan bij. De Klant kan zijn auditrechten niet vaker dan eenmaal per periode van twaalf (12) maanden uitoefenen, behalve na een bevestigde inbreuk in verband met persoonsgegevens, op verzoek van een bevoegde toezichthoudende autoriteit, of bij redelijke aanwijzingen voor wezenlijke niet-naleving van deze DPA. Audits vereisen ten minste 30 dagen schriftelijke aankondiging vooraf, zijn onderworpen aan geheimhoudingstoezeggingen, moeten zo worden uitgevoerd dat verstoring van de bedrijfsvoering van SkillCort tot een minimum beperkt blijft, en omvatten nooit toegang tot gegevens van andere klanten. Partijen steunen eerst op bestaande onafhankelijke auditrapporten en de gepubliceerde beveiligingsdocumentatie van SkillCort, voor zover die de reikwijdte redelijkerwijs afdekken; de kosten van buitensporige of op maat gemaakte auditverzoeken die daarbovenuit gaan, komen voor rekening van de Klant.

12. Aansprakelijkheid en rangorde

De aansprakelijkheid wordt beheerst door de Overeenkomst. Bij strijdigheid tussen de Overeenkomst en deze DPA over de verwerking van persoonsgegevens gaat deze DPA voor; gesloten modelcontractbepalingen en standaardcontracten gaan voor beide, voor zover de strijdigheid reikt.

KVKK-bijlage

Is de Klant in Türkiye gevestigd of bevinden kandidaten zich in Türkiye, dan sluiten partijen daarnaast het Turkse standaardcontract inzake gegevensbescherming (verwerkersverhouding) en dienen dit binnen vijf werkdagen in bij de Autoriteit. De plicht tot aydınlatma (informatiemededeling) jegens kandidaten ligt bij de Klant als verwerkingsverantwoordelijke, met een eigen mededeling of met het sjabloon dat SkillCort verstrekt.

Om deze DPA voor uw organisatie te sluiten, of voor ondertekende exemplaren en doorgiftedocumentatie: privacy@skillcort.com.