Verwerkersovereenkomst Recruitin B.V.
Versie 2 · 3 november 2026 · vervangt de Verwerkersovereenkomst Recruitin DEF (2019)
Partijen. De opdrachtgever zoals genoemd in de opdrachtbevestiging (“U”, de Verwerkingsverantwoordelijke) en Recruitin B.V., Philippus Gastelaarsstraat 21B, 6981 BH Doesburg, KvK 75303647 (“Wij”, de Verwerker).
1. Algemeen
1.1 Toepassing. Deze verwerkersovereenkomst geldt voor opdrachten voor RPO, interim recruitment en recruitmentmarketing, waarbij Wij namens U werven en selecteren of reacties (leads) op Uw vacatures en campagnes verzamelen en verwerken. Bij werving en selectie en bij introducties van eigen kandidaten zijn Wij zelfstandig verwerkingsverantwoordelijke (artikel 15 van onze algemene voorwaarden); dan geldt deze overeenkomst niet.
1.2 Onderwerp. Onze recruiters werken namens U en verzorgen het wervings- en selectietraject van Uw vacatures. Voor het verwerken van sollicitaties gebruiken Wij Uw ATS. Stelt U geen ATS beschikbaar, dan gebruiken Wij ons eigen ATS (Carerix) in een omgeving die van onze eigen kandidatendatabase is gescheiden. Reacties uit recruitmentmarketing, bijvoorbeeld via een advertentieformulier op Meta of een landingspagina, slaan Wij op in Uw ATS of, als de opdrachtbevestiging dat bepaalt, in Carerix, een met U gedeeld Google-spreadsheet, Pipedrive of een beveiligde leadportal. De opdrachtbevestiging vermeldt per opdracht welke systemen Wij gebruiken.
1.3 Begrippen. Begrippen als persoonsgegevens, verwerking, betrokkene, verwerker, sub-verwerker en inbreuk in verband met persoonsgegevens (datalek) hebben de betekenis die de Algemene verordening gegevensbescherming (AVG) eraan geeft. Bijzondere persoonsgegevens zijn onder meer gegevens over gezondheid, godsdienst, ras, politieke voorkeur, seksueel leven, vakbondslidmaatschap en strafrechtelijke gegevens; het burgerservicenummer (BSN) behandelen Wij op dezelfde manier. Het opslaan daarvan in het ATS is niet toegestaan.
1.4 Samenhang en voorrang. Deze verwerkersovereenkomst hoort bij de opdrachtbevestiging en de algemene voorwaarden van Recruitin. Bij strijdigheid over de verwerking van persoonsgegevens gaat deze verwerkersovereenkomst voor.
1.5 Duur. Deze verwerkersovereenkomst geldt zolang de opdracht loopt en eindigt automatisch met de opdracht. Verplichtingen die naar hun aard doorlopen, zoals geheimhouding en het melden van datalekken, blijven daarna gelden.
2. Verwerken van persoonsgegevens
2.1 Wij verwerken in Uw opdracht persoonsgegevens van sollicitanten, kandidaten, mensen die op Uw vacatures of campagnes reageren (leads) en Uw medewerkers die bij de werving betrokken zijn: naam, contactgegevens, cv, motivatie, opleiding, werkervaring, beschikbaarheid, salarisindicatie, gespreksverslagen, beoordelingen en correspondentie.
2.2 De verwerking gebeurt onder Uw verantwoordelijkheid en alleen op Uw schriftelijke instructie, zoals vastgelegd in de opdrachtbevestiging. U bepaalt doel en middelen, de grondslag en de bewaartermijnen. Tenzij U schriftelijk anders bepaalt, hanteren Wij: verwijderen 4 weken na afronding van de procedure; met toestemming van de kandidaat maximaal 12 maanden.
2.3 Vinden Wij dat een instructie in strijd is met de AVG, dan melden Wij dat direct.
2.4 Alleen Onze medewerkers die aan Uw opdracht werken hebben toegang, en alleen tot de gegevens die zij daarvoor nodig hebben. Zij zijn geïnstrueerd over de omgang met persoonsgegevens.
2.5 Wij gebruiken de gegevens niet voor eigen doeleinden. Statistische analyses voor kwaliteitsverbetering doen Wij uitsluitend met geaggregeerde, niet tot personen herleidbare gegevens.
2.6 Kandidaten die via Uw kanalen solliciteren, nemen Wij niet op in onze eigen kandidatendatabase, tenzij U daar vooraf schriftelijk mee instemt én de kandidaat zelf, via een afzonderlijk bericht, daarvoor toestemming geeft.
2.7 De persoonsgegevens blijven van U en de betrokkenen.
3. Bijstand
3.1 Ontvangen Wij een verzoek van een betrokkene (inzage, correctie, verwijdering en dergelijke), dan sturen Wij dat binnen 2 werkdagen door aan U en helpen Wij U bij de afhandeling, voor zover Wij toegang hebben tot de gegevens.
3.2 Wij helpen U bij een gegevensbeschermingseffectbeoordeling (DPIA) en bij een eventuele voorafgaande raadpleging van de Autoriteit Persoonsgegevens, voor zover dat redelijkerwijs van Ons verlangd kan worden.
3.3 Voor bijstand die verder gaat dan gebruikelijk kunnen Wij na voorafgaand overleg redelijke kosten in rekening brengen.
4. Geheimhouding en sub-verwerkers
4.1 Wij houden de persoonsgegevens geheim en verplichten Onze medewerkers en sub-verwerkers tot geheimhouding.
4.2 U geeft algemene toestemming voor de sub-verwerkers in bijlage 1. Wij leggen hun dezelfde verplichtingen op als in deze overeenkomst en blijven tegenover U aansprakelijk voor hen.
4.3 Een nieuwe of andere sub-verwerker melden Wij vooraf schriftelijk. U kunt binnen 14 dagen gemotiveerd bezwaar maken. Lukt het niet die sub-verwerker voor Uw opdracht uit te zetten, dan kunt U de opdracht voor dat onderdeel beëindigen.
5. Gebruik van kunstmatige intelligentie (AI)
5.1 Wij zetten de AI-hulpmiddelen uit bijlage 1 alleen in na Uw voorafgaande schriftelijke instructie per opdracht. U kunt dit per hulpmiddel weigeren.
5.2 AI vat bij Ons cv’s en gespreksverslagen samen en ordent ze naar de eisen van de vacature, met verwijzing naar de bron. AI scoort, rangschikt of categoriseert kandidaten niet. Elk besluit over voordragen, uitnodigen of afwijzen neemt een medewerker van Recruitin of van U. Wij nemen geen besluiten die uitsluitend op geautomatiseerde verwerking berusten.
5.3 Wij gebruiken geen AI voor emotieherkenning, persoonlijkheidsanalyse uit stem of beeld, of biometrische categorisering. Gesprekken nemen Wij alleen op met voorafgaande toestemming van de kandidaat.
5.4 Wij voeren geen bijzondere persoonsgegevens in AI-hulpmiddelen in en gebruiken voor Uw opdracht alleen AI-diensten onder zakelijke voorwaarden met een verwerkersovereenkomst, waarbij de leverancier de gegevens niet gebruikt om zijn modellen te trainen. Een AI-assistent zonder verwerkersovereenkomst zetten Wij voor Uw opdracht niet in, ook niet bij het zoeken in LinkedIn Recruiter.
5.5 Voor AI-systemen die onder de Europese AI-verordening als hoog risico gelden (Bijlage III, punt 4), houden Wij menselijk toezicht door daartoe opgeleide medewerkers, gebruiken Wij het systeem volgens de instructies van de leverancier en bewaren Wij de logs gepseudonimiseerd gedurende de termijn die U bepaalt, en ten minste zes maanden voor zover de wet dat vereist. Deze plichten gelden wettelijk vanaf 2 december 2027; Wij passen ze nu al toe.
5.6 Op Uw verzoek geven Wij inzicht in welke AI-hulpmiddelen bij Uw opdracht zijn gebruikt en hoe een beoordeling tot stand kwam, zodat U kandidaten kunt informeren en Uw eigen verplichtingen kunt nakomen.
6. Doorgifte
6.1 Wij verstrekken persoonsgegevens alleen aan derden met Uw toestemming, als de opdracht dat logischerwijs vereist, of als de wet Ons verplicht.
6.2 Voor het intern presenteren van een kandidaat gebruiken Wij Uw mailsysteem of een door U gekozen kanaal, met een privacyinstructie over bewaartermijn en niet verder verspreiden.
6.3 Doorgifte buiten de Europese Economische Ruimte gebeurt alleen met passende waarborgen: een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework) of standaardcontractbepalingen. Per sub-verwerker staat de waarborg in bijlage 1; een kopie is op verzoek beschikbaar.
7. Beveiliging
7.1 Wij nemen passende technische en organisatorische maatregelen, waaronder: beveiligde verbindingen; encryptie van laptops en mobiele gegevensdragers; malwarebescherming; een beheerde autorisatiematrix; persoonlijke accounts met tweestapsverificatie; incidentmanagement; bewustwording en training van medewerkers. Carerix, ons ATS, is volgens eigen opgave ISO 27001-gecertificeerd; de hostinglocatie vragen wij bij Carerix op.
7.2 Wij informeren U als een maatregel wezenlijk wijzigt. U zorgt voor passende beveiliging aan Uw kant.
8. Datalekken
8.1 Wij melden een datalek zonder onredelijke vertraging en uiterlijk binnen 24 uur nadat Wij het ontdekten of door een sub-verwerker werden geïnformeerd, per e-mail en daarna telefonisch, met de (vermoedelijke) oorzaak, de (verwachte) gevolgen en de (voorgestelde) oplossing.
8.2 Wij houden U op de hoogte van de genomen maatregelen. U beslist over melding aan de Autoriteit Persoonsgegevens en betrokkenen en houdt het register van datalekken bij.
9. Einde
9.1 Bij het einde van de opdracht geven Wij de persoonsgegevens terug of vernietigen Wij ze, naar Uw keuze, binnen 30 dagen. Wij bewaren alleen een kopie als de wet Ons dat verplicht.
9.2 Op Uw verzoek verklaren Wij schriftelijk dat Wij de gegevens niet meer hebben.
10. Verantwoording en audit
10.1 Wij beantwoorden Uw vragen over Onze werkwijze, zodat U kunt beoordelen of Wij deze overeenkomst naleven.
10.2 U kunt maximaal eenmaal per jaar, na 14 dagen vooraankondiging, een audit laten uitvoeren. De kosten zijn voor U, tenzij de audit een ernstige tekortkoming aan Onze kant aantoont. U geeft Ons een kopie van het rapport.
11. Aansprakelijkheid
11.1 Veroorzaken Wij schade door deze overeenkomst, de privacywetgeving of Ons beveiligingsbeleid niet na te leven, dan zijn Wij daarvoor aansprakelijk tot het maximum in de algemene voorwaarden van Recruitin, behalve bij opzet of bewuste roekeloosheid. Overmacht zoals omschreven in de algemene voorwaarden is uitgezonderd.
11.2 Wij zijn niet aansprakelijk voor schade die volgt uit het niet naleven van de AVG door U. U vrijwaart Ons voor aanspraken van derden, inclusief redelijke kosten van verweer en boetes die Ons door Uw handelen worden opgelegd. Omgekeerd vrijwaren Wij U voor aanspraken en boetes die het gevolg zijn van Ons handelen in strijd met deze overeenkomst.
12. Wijzigingen
12.1 Wijzigingen in deze overeenkomst gelden na schriftelijk akkoord van beide partijen. Voor sub-verwerkers geldt artikel 4.3.
12.2 Op deze overeenkomst is Nederlands recht van toepassing; geschillen gaan naar de bevoegde rechter te Arnhem.
Bijlage 1 — Sub-verwerkers en AI-hulpmiddelen
| Sub-verwerker | Waarvoor | Opslag | Waarborg buiten EER |
|---|---|---|---|
| Carerix | ATS (als U geen eigen ATS beschikbaar stelt) | Binnen de EER (volgens ons verwerkingsregister; actuele bevestiging opgevraagd bij Carerix) | Niet van toepassing |
| Microsoft 365 | E-mail, documenten en gesprekstranscriptie (Teams) | EU (EU Data Boundary) | EU-VS Data Privacy Framework |
| Jobdigger / theMatchBox | Matchen van kandidaten aan vacatures | Wordt bij de leverancier bevestigd; Wij melden U de locatie schriftelijk vóór inzet bij Uw opdracht | Wordt met de locatie gemeld |
| Google Workspace | Gedeelde spreadsheets en documenten met reacties en voordrachten | EU (dataregio EU ingesteld); ondersteuning vanuit de VS | EU-VS Data Privacy Framework en standaardcontractbepalingen |
| Meta (Facebook/Instagram) | Vacatureadvertenties en advertentieformulieren (lead ads) | EU en VS | EU-VS Data Privacy Framework en standaardcontractbepalingen (Data Transfer Addendum) |
| Pipedrive | Opvolgen van reacties op advertenties | EU (Frankfurt/Dublin) | Niet van toepassing |
| Jotform | Sollicitatie- en reactieformulieren | EU (Frankfurt) of VS, per formulier | EU-VS Data Privacy Framework |
| Zapier | Doorzetten van formulierinzendingen tussen systemen | VS | EU-VS Data Privacy Framework en standaardcontractbepalingen |
| Netlify | Hosting van landingspagina’s en beveiligde leadportals | VS | Standaardcontractbepalingen in de verwerkersovereenkomst van Netlify |
| Supabase | Database achter landingspagina’s en leadportals | EU (Ierland, Frankfurt of Parijs) | Niet van toepassing voor de opslag; ondersteuning met standaardcontractbepalingen |
| Resend | Versturen van bevestigingsmails aan mensen die reageren | VS | Standaardcontractbepalingen |
| Anthropic (Claude, via zakelijke API) | Samenvatten van cv’s en gespreksverslagen tot een geanonimiseerd profiel (alleen na Uw instructie, art. 5.1) | VS | Standaardcontractbepalingen in de verwerkersovereenkomst van Anthropic; geen gebruik voor training |
Zelfstandige derden (geen sub-verwerker): LinkedIn (bron en contact; zelf verantwoordelijk voor de gegevens op het platform). LinkedIn biedt voor Recruiter een online DPA via het LinkedIn-contract; doorgifte via het EU-VS Data Privacy Framework en standaardcontractbepalingen.
Ondertekening: zie opdrachtbevestiging; digitaal akkoord geldt als ondertekening. Bestaande klanten met de versie van 2019 ontvangen deze versie ter actieve instemming.