Verwerkersovereenkomst

Publieke trustlaag

Deze DPA is de formele verwerkerslaag. Voor een compact publiek overzicht van methodiek, privacy, rapportlezing en juridische ondersteuning kun je ook naar Trust & privacy.

Partijen

Deze verwerkersovereenkomst wordt gesloten tussen:

Verwerkingsverantwoordelijke: [KLANTORGANISATIE], gevestigd te [KLANTADRES], hierna te noemen "Verwerkingsverantwoordelijke";

en

Verwerker: Loep, Nederlandse dienst voor medewerkersonderzoek en rapportage. Volledige bedrijfsgegevens worden opgenomen in de gepersonaliseerde en ondertekende versie van deze overeenkomst. Loep is bereikbaar via privacy@getloep.nl, hierna te noemen "Verwerker".

De dienst is ingericht voor gegroepeerde managementinzichten met duidelijke privacy- en interpretatiegrenzen. Verwerker levert geen persoonsgerichte voorspel- of beoordelingsoutput.

1. Dienst en reikwijdte

Deze overeenkomst heeft betrekking op de verwerking van persoonsgegevens in het kader van de dienstverlening van Verwerker voor Loep Vertrek, Loep Behoud en/of Loep Start. De overeenkomst loopt gelijk met de looptijd van de onderliggende dienstverleningsovereenkomst, tenzij Partijen schriftelijk anders overeenkomen.

2. Categorieën persoonsgegevens

• Accountgegevens HR-gebruikers: naam en zakelijk e-mailadres van HR-medewerkers en beheerders.
• Respondentgegevens: antwoorden op de vragenlijst, afdeling en een willekeurige sleutel tegen dubbel invullen. E-mailadressen van respondenten uitsluitend indien schriftelijk is overeengekomen dat Verwerker de uitnodigingen verstuurt.
• Technische gegevens: logging- en beveiligingsinformatie die nodig is om het platform veilig en betrouwbaar te laten functioneren.

De categorieën betrokkenen zijn:

• HR-medewerkers en beheerders van de Verwerkingsverantwoordelijke;
• Respondenten: voormalig of actief personeel van de Verwerkingsverantwoordelijke.

3. Doel van de verwerking

Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de uitvoering van Loep Vertrek, Loep Behoud en/of Loep Start, inclusief de inrichting van de meting, herinneringen aan de Verwerkingsverantwoordelijke, dashboardtoegang, rapportage en noodzakelijke technische beveiliging.

Wanneer Loep Behoud wordt ingezet op actieve medewerkers, zijn de uitkomsten nadrukkelijk bedoeld voor groeps- en segmentinzichten. Individuele signalen, individuele vertrekintentie op persoonsniveau en persoonsgerichte actieroutes worden niet als managementoutput verstrekt.

4. Instructies en geheimhouding

Verwerker verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, zoals vastgelegd in deze overeenkomst en de dienstverleningsovereenkomst.

Verwerker zorgt ervoor dat alle personen die persoonsgegevens verwerken in het kader van de Dienst, gebonden zijn aan een passende geheimhoudingsverplichting.

5. Beveiliging

Verwerker treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies, onrechtmatige verwerking en ongeautoriseerde toegang. Deze maatregelen omvatten ten minste:

• versleuteling van gegevens tijdens transport via TLS/HTTPS;
• database-afscherming per organisatie via toegangsbeperking en tenant-isolatie;
• beperkte toegang voor medewerkers van Verwerker op basis van need-to-know;
• minimum groepsgroottes, segmentonderdrukking en terughoudende rapportage om herleidbaarheid te beperken;
• anonimisering van open tekst waar dat nodig is voor veilige groepsduiding.

6. Subverwerkers

De Verwerkingsverantwoordelijke verleent Verwerker toestemming om gebruik te maken van subverwerkers.

• Supabase Inc. - database, authenticatie en opslag;
• Vercel Inc. - hosting van de webapplicatie;
• Resend Inc. - verzending van e-mailuitnodigingen en herinneringen.

Bij inschakeling van nieuwe subverwerkers stelt Verwerker de Verwerkingsverantwoordelijke vooraf op de hoogte. Voor doorgifte buiten de EER worden passende contractuele waarborgen toegepast.

7. Rechten van betrokkenen

Verwerker verleent medewerking aan de Verwerkingsverantwoordelijke bij het honoreren van verzoeken van betrokkenen op grond van de AVG, waaronder inzage, correctie, verwijdering, beperking van verwerking, dataportabiliteit en bezwaar.

8. Datalekken

Verwerker meldt een geconstateerde inbreuk in verband met persoonsgegevens zo spoedig mogelijk bij de Verwerkingsverantwoordelijke, en verstrekt daarbij voor zover beschikbaar de aard van de inbreuk, de categorieën betrokkenen, de vermoedelijke gevolgen en de genomen of voorgestelde maatregelen.

9. Bewaartermijnen en einde dienstverlening

Verwerker verwijdert of anonimiseert persoonsgegevens uiterlijk twee jaar na het sluiten van de meting, of eerder op verzoek van de Verwerkingsverantwoordelijke, tenzij schriftelijk een andere termijn is overeengekomen of wettelijke verplichtingen een langere bewaring vereisen.

Verwijderde gegevens kunnen nog korte tijd voorkomen in back-ups van de hostingpartij. Die back-ups worden volgens hun vaste termijn automatisch overschreven. Verwerker zet daaruit geen gegevens terug, behalve om een storing te herstellen.

10. Contact

Voor vragen over deze verwerkersovereenkomst of voor een gepersonaliseerde en ondertekende versie kunt u contact opnemen via privacy@getloep.nl. Bekijk daarnaast ook het privacybeleid en Trust & privacy.