Privacyverklaring

1. Wie wij zijn

Deze privacyverklaring legt uit hoe cvtobrand.com (“CVtoBrand”, “wij”) persoonsgegevens verwerkt op de website cvtobrand.com en in de webapp op app.cvtobrand.com (de “Dienst”). CVtoBrand is verwerkingsverantwoordelijke voor de verwerkingen in paragraaf 2.2. Ons contactadres voor alle privacyvragen en -verzoeken is [email protected]. Wil je de volledige juridische identiteit (juridische naam, inschrijvingsnummer en adres) weten van de persoon of organisatie achter CVtoBrand, vraag het ons dan via dat adres; we laten het je onverwijld weten. We hebben geen functionaris gegevensbescherming aangesteld.

2. Onze twee rollen

2.1 Verwerker voor onze klanten. Als een klant (een recruitment- of detacheringsbureau) cv’s uploadt, worden de persoonsgegevens in die cv’s namens en op instructie van de klant verwerkt. De klant is verwerkingsverantwoordelijke; de verwerkersovereenkomst is van toepassing. De klant is als enige verantwoordelijk voor een grondslag, het informeren van kandidaten en de naleving van de wetgeving van zijn eigen land.

2.2 Verwerkingsverantwoordelijke voor onze eigen verwerkingen. Voor de website, klantaccounts, communicatie en facturatie is CVtoBrand verwerkingsverantwoordelijke. Die verwerkingen staan hieronder.

3. Wat we verwerken en waarom

• Websitebezoek: technische gegevens die nodig zijn om de website te leveren en te beveiligen, zoals IP-adres, browsertype en de opgevraagde pagina, verwerkt door onze hosting- en netwerkprovider. Grondslag: gerechtvaardigd belang bij een veilige, werkende website. We gebruiken analysecookies alleen als je daarvoor toestemming geeft (zie paragraaf 4), en we gebruiken geen advertentiecookies.
• Website-analyse (alleen met je toestemming): als je analysecookies accepteert, gegevens over hoe je de website gebruikt, verzameld met Google Analytics (zie paragraaf 4). Grondslag: je toestemming (artikel 6 lid 1 sub a AVG), die je altijd kunt intrekken.
• Accounts en Gebruikers: naam, zakelijk e-mailadres, rol (beheerder of recruiter), Werkruimte en inlog- en gebruiksgegevens. Grondslag: uitvoering van de overeenkomst met de klant en ons gerechtvaardigd belang bij het leveren en beveiligen van de Dienst.
• Contact- en demoverzoeken: de gegevens die je ons stuurt, om je verzoek te beantwoorden. Grondslag: gerechtvaardigd belang of handelingen voorafgaand aan een overeenkomst.
• Facturatie: bedrijfs- en factuurgegevens en betaalstatus. Grondslag: uitvoering van de overeenkomst en wettelijke (fiscale) verplichtingen.

4. Cookies

De website cvtobrand.com gebruikt strikt noodzakelijke opslag in de lokale opslag (local storage) van je browser: je keuze voor lichte of donkere modus (cvtb-theme), je taalkeuze (cvtb-lang, alleen als je zelf een taal kiest) en je cookiekeuze (cvtb-consent, met de datum en versie van die keuze). Blokkeert je browser de lokale opslag, dan bewaren we je taalkeuze en cookiekeuze in strikt noodzakelijke cookies met dezelfde namen. Voor deze opslag is geen toestemming nodig en ze wordt niet gebruikt om je te volgen.

Analyse, alleen met je toestemming. Als je analysecookies accepteert, gebruiken we Google Analytics 4 om te begrijpen hoe de website wordt gebruikt, bijvoorbeeld welke pagina’s worden bezocht en hoe bezoekers de website vinden, zodat we haar kunnen verbeteren. Google Analytics wordt pas geladen nadat je toestemming hebt gegeven: tot dat moment, en als je analyse weigert, wordt geen Google Analytics-script geladen en worden geen analysecookies geplaatst. We gebruiken Google Consent Mode, met alle categorieën standaard op “geweigerd”. We gebruiken de advertentiefuncties van Google Analytics en Google-signalen niet, en we gebruiken analysegegevens niet voor advertenties.

Met je toestemming plaatst Google Analytics de cookies _ga (om bezoekers te onderscheiden) en _ga_<ID> (om de sessiestatus bij te houden); standaard verlopen die tot 2 jaar na je laatste bezoek. Google Analytics verwerkt dan een online identificator uit deze cookies, de pagina’s die je bekijkt, het tijdstip en de herkomst van je bezoek, en informatie over je apparaat, browser en globale locatie, afgeleid van je IP-adres. Gegevens op gebeurtenisniveau worden in Google Analytics bewaard gedurende de bewaartermijn die in ons Google Analytics-account is ingesteld; geaggregeerde rapporten die jou niet identificeren, kunnen langer worden bewaard.

Ontvanger van deze gegevens is Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ierland), die Google Analytics levert; de gegevens kunnen ook worden verwerkt door Google LLC in de Verenigde Staten. Die doorgifte is gedekt door het EU-VS Data Privacy Framework, waaronder Google LLC is gecertificeerd. De grondslag is je toestemming (artikel 6 lid 1 sub a AVG; voor de cookies artikel 11.7a Telecommunicatiewet). Google Analytics wordt alleen voor deze website gebruikt, niet voor cv’s of andere klantgegevens in de webapp.

Bij je eerste bezoek vragen we je keuze; weigeren is even makkelijk als accepteren, en analyse blijft uit tenzij je die accepteert. Je kunt je toestemming altijd wijzigen of intrekken via de link “Cookie-instellingen” onderaan elke pagina; dat heeft geen gevolgen voor de verwerking vóór de intrekking. Na intrekking wordt Google Analytics niet meer geladen en verwijderen we de cookies ervan uit je browser; je kunt cookies ook zelf verwijderen via de instellingen van je browser. Na 12 maanden, of als de categorieën veranderen, vragen we je keuze opnieuw.

Ter bescherming van het inloggen tegen misbruik gebruikt de webapp (app.cvtobrand.com) Google reCAPTCHA Enterprise via Firebase App Check; dit is strikt noodzakelijk voor de beveiliging. De webapp gebruikt daarnaast de cookies en opslag die strikt nodig zijn om in te loggen en de app te gebruiken.

5. Bewaartermijnen

We bewaren persoonsgegevens niet langer dan nodig voor de doelen hierboven. Concreet:

• Cv’s en kandidaatgegevens (als verwerker): gegenereerde cv-profielen worden alleen bewaard gedurende de bewaartermijn die de beheerder van de klant kiest (7 tot 90 dagen; standaard 14) en daarna verwijderd. Bronbestanden van cv’s en foto’s slaan wij niet op. Zie artikel 13 van de verwerkersovereenkomst.
• Accounts en Gebruikers: zolang het account van de klant bestaat.
• Verwijderen van een klantaccount: verwijdert een klant zijn account (in de webapp of via een verzoek aan ons), of eindigt de overeenkomst op een andere manier, dan gaat een annuleringstermijn van 10 dagen in. Daarin kan de klant de verwijdering ongedaan maken en zijn gegevens exporteren. Na die 10 dagen verwijderen we alle gegevens van de Werkruimte van die klant definitief (het account, de Gebruikers, cv-profielen, instellingen, auditlogs en gebruiksgegevens), zonder onnodige vertraging en uiterlijk 30 dagen later.
• Auditlogs (welke Gebruiker wanneer welke handeling op welk item uitvoerde; geen cv-inhoud): 12 maanden, en in ieder geval niet langer dan de Werkruimte van de klant bestaat.
• Contact- en demo-aanvragen: 12 maanden na ons laatste contact.
• Analysecookies (alleen met je toestemming): zie paragraaf 4.
• De enige uitzondering: factuur- en betaalgegevens die we wettelijk moeten bewaren (artikel 2:10 Burgerlijk Wetboek en artikel 52 Algemene wet inzake rijksbelastingen) bewaren we 7 jaar. We bewaren alleen de gegevens die daarvoor nodig zijn (zoals bedrijfsnaam, factuurgegevens, factuur- en betaalgegevens), en nooit cv’s of kandidaatgegevens.
• Back-ups: als back-up- of herstelfuncties van onze cloudproviders kopieën van persoonsgegevens bevatten, worden die kopieën alleen gebruikt om de Dienst na een incident te herstellen en worden ze verwijderd of overschreven zodra hun vaste bewaartermijn afloopt. Verwijderde gegevens kunnen daarnaast nog beperkte tijd in de interne back-upsystemen van onze providers staan voordat ze definitief worden overschreven, volgens hun voorwaarden.
• Technische logs van onze hosting-, cloud- en e-mailproviders: gedurende de beperkte bewaartermijnen die voor die logs bij onze providers gelden, en daarna verwijderd.

6. Ontvangers en subverwerkers

We werken met de volgende dienstverleners, die namens ons persoonsgegevens verwerken: Google (Google Cloud en Firebase: back-end, database, inloggen, misbruikbescherming met reCAPTCHA Enterprise, AI-verwerking met Vertex AI, en onze supportmailbox via Google Workspace), Resend (service-e-mails) en Cloudflare (levering van website en app, DNS en netwerkbeveiliging). Details, locaties en waarborgen staan in bijlage C bij de verwerkersovereenkomst. Google Analytics (Google Ireland Limited) gebruiken we alleen op de website en alleen met je toestemming; zie paragraaf 4.

7. Doorgifte buiten de EER

Onze back-endfuncties draaien in Google Cloud-regio europe-west4 (Nederland) en onze AI-verwerking draait in de EU. Een deel van onze providers is (onderdeel van) een Amerikaans bedrijf, en sommige gegevens kunnen buiten de EER worden verwerkt: met name draaien inloggen en misbruikbescherming op de wereldwijde infrastructuur van Google, heeft Cloudflare een wereldwijd netwerk, bewaart Resend e-mailmetadata en logs in de Verenigde Staten en kunnen, als je toestemming geeft voor analyse, Google Analytics-gegevens door Google LLC in de Verenigde Staten worden verwerkt. Worden persoonsgegevens buiten de EER verwerkt, dan is die doorgifte gedekt door het EU-VS Data Privacy Framework en/of de modelcontractbepalingen van de Europese Commissie, zoals vermeld in bijlage C bij de verwerkersovereenkomst en in paragraaf 4.

8. Jouw rechten

Je hebt binnen de grenzen van de wet het recht op inzage, rectificatie en verwijdering van je persoonsgegevens, op beperking van en bezwaar tegen de verwerking, en op overdraagbaarheid. Je kunt ook een klacht indienen bij een toezichthouder, zoals de Autoriteit Persoonsgegevens. Gaat je verzoek over een cv dat een bureau heeft geüpload, neem dan contact op met dat bureau; wij ondersteunen het bureau bij de afhandeling.

9. Beveiliging

We nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen, waaronder versleutelde verbindingen (HTTPS), scheiding van klantwerkruimtes en toegang op basis van rollen.

10. Wijzigingen

We kunnen deze privacyverklaring aanpassen. De datum bovenaan toont de laatste versie.

11. Contact

Vragen over deze privacyverklaring of over je rechten kun je aan CVtoBrand stellen per e-mail via [email protected]. Privacyverzoeken (bijvoorbeeld om je rechten uit te oefenen) kun je ook naar dit adres sturen.