Verwerkersovereenkomst

Publieke trustlaag

Deze DPA is de formele verwerkerslaag. Voor een compact publiek overzicht van methodiek, privacy, rapportlezing en juridische ondersteuning kun je ook naar Trust & privacy.

Partijen

Deze verwerkersovereenkomst wordt gesloten tussen:

Verwerkingsverantwoordelijke: [KLANTORGANISATIE], gevestigd te [KLANTADRES], hierna te noemen "Verwerkingsverantwoordelijke";

en

Verwerker: Loep, Nederlandse dienst voor begeleide HR-signalering en rapportage. Volledige bedrijfsgegevens worden opgenomen in de gepersonaliseerde en ondertekende versie van deze overeenkomst. Loep is bereikbaar via privacy@verisight.nl, hierna te noemen "Verwerker".

De dienst is ingericht voor gegroepeerde managementinzichten met duidelijke privacy- en interpretatiegrenzen. Verwerker levert geen persoonsgerichte voorspel- of beoordelingsoutput.

1. Dienst en reikwijdte

Deze overeenkomst heeft betrekking op de verwerking van persoonsgegevens in het kader van de ExitScan- en/of RetentieScan-dienstverlening van Verwerker. De overeenkomst loopt gelijk met de looptijd van de onderliggende dienstverleningsovereenkomst, tenzij Partijen schriftelijk anders overeenkomen.

2. Categorieen persoonsgegevens

• Accountgegevens HR-gebruikers: naam en zakelijk e-mailadres van HR-medewerkers en beheerders.
• Respondentgegevens: e-mailadres voor uitnodiging en herinnering, surveyantwoorden en beperkte contextgegevens zoals afdeling, functieniveau of diensttijd.
• Technische gegevens: logging- en beveiligingsinformatie die nodig is om het platform veilig en betrouwbaar te laten functioneren.

De categorieen betrokkenen zijn:

• HR-medewerkers en beheerders van de Verwerkingsverantwoordelijke;
• Respondenten: voormalig of actief personeel van de Verwerkingsverantwoordelijke.

3. Doel van de verwerking

Verwerker verwerkt persoonsgegevens uitsluitend ten behoeve van de uitvoering van ExitScan en/of RetentieScan, inclusief uitnodigingen, herinneringen, dashboardtoegang, rapportage en noodzakelijke technische beveiliging.

Wanneer RetentieScan wordt ingezet op actieve medewerkers, zijn de uitkomsten nadrukkelijk bedoeld voor groeps- en segmentinzichten. Individuele signalen, individuele vertrekintentie op persoonsniveau en persoonsgerichte actieroutes worden niet als managementoutput verstrekt.

4. Instructies en geheimhouding

Verwerker verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke, zoals vastgelegd in deze overeenkomst en de dienstverleningsovereenkomst.

Verwerker zorgt ervoor dat alle personen die persoonsgegevens verwerken in het kader van de Dienst, gebonden zijn aan een passende geheimhoudingsverplichting.

5. Beveiliging

Verwerker treft passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies, onrechtmatige verwerking en ongeautoriseerde toegang. Deze maatregelen omvatten ten minste:

• versleuteling van gegevens tijdens transport via TLS/HTTPS;
• database-afscherming per organisatie via toegangsbeperking en tenant-isolatie;
• beperkte toegang voor medewerkers van Verwerker op basis van need-to-know;
• minimum groepsgroottes, segmentonderdrukking en terughoudende rapportage om herleidbaarheid te beperken;
• anonimisering van open tekst waar dat nodig is voor veilige groepsduiding.

6. Subverwerkers

De Verwerkingsverantwoordelijke verleent Verwerker toestemming om gebruik te maken van subverwerkers.

• Supabase Inc. - database, authenticatie en opslag;
• Vercel Inc. - hosting van de webapplicatie;
• Resend Inc. - verzending van e-mailuitnodigingen en herinneringen.

Bij inschakeling van nieuwe subverwerkers stelt Verwerker de Verwerkingsverantwoordelijke vooraf op de hoogte. Voor doorgifte buiten de EER worden passende contractuele waarborgen toegepast.

7. Rechten van betrokkenen

Verwerker verleent medewerking aan de Verwerkingsverantwoordelijke bij het honoreren van verzoeken van betrokkenen op grond van de AVG, waaronder inzage, correctie, verwijdering, beperking van verwerking, dataportabiliteit en bezwaar.

8. Datalekken

Verwerker meldt een geconstateerde inbreuk in verband met persoonsgegevens zo spoedig mogelijk bij de Verwerkingsverantwoordelijke, en verstrekt daarbij voor zover beschikbaar de aard van de inbreuk, de categorieen betrokkenen, de vermoedelijke gevolgen en de genomen of voorgestelde maatregelen.

9. Bewaartermijnen en einde dienstverlening

Na afloop van de dienstverlening verwijdert of anonimiseert Verwerker persoonsgegevens conform het overeengekomen bewaarbeleid, tenzij wettelijke verplichtingen een langere bewaring vereisen.

10. Contact

Voor vragen over deze verwerkersovereenkomst of voor een gepersonaliseerde en ondertekende versie kunt u contact opnemen via privacy@verisight.nl. Bekijk daarnaast ook het privacybeleid en Trust & privacy.