Verwerkersovereenkomst

Versie 1.0 — 14 september 2026 · Clarq One · KvK 71878750

1. Partijen en toepasselijkheid

Deze Verwerkersovereenkomst is van toepassing wanneer een zakelijke klant van Clarq One persoonsgegevens aan Clarq One beschikbaar stelt en Clarq One deze persoonsgegevens uitsluitend namens en ten behoeve van die klant verwerkt.

De klant wordt in deze overeenkomst aangeduid als “Verwerkingsverantwoordelijke”.

Dylan Sitters, handelend onder de naam Clarq One, een eenmanszaak ingeschreven in het Handelsregister van de Kamer van Koophandel onder nummer 71878750, wordt aangeduid als “Verwerker”.

Deze Verwerkersovereenkomst maakt onderdeel uit van de overeenkomst tussen partijen voor zover Clarq One als verwerker optreedt.

Bij strijdigheid tussen deze Verwerkersovereenkomst en de Algemene Voorwaarden van Clarq One over de verwerking van persoonsgegevens, gaat deze Verwerkersovereenkomst voor.

2. Verwerking in opdracht

Verwerker verwerkt persoonsgegevens uitsluitend:

voor de uitvoering van de met Verwerkingsverantwoordelijke overeengekomen dienstverlening;
op basis van gedocumenteerde instructies van Verwerkingsverantwoordelijke; en
voor zover noodzakelijk voor die dienstverlening.

De overeenkomst van opdracht, de aangeleverde gegevens en aanvullende schriftelijke instructies van Verwerkingsverantwoordelijke gelden gezamenlijk als gedocumenteerde instructies.

Verwerker gebruikt persoonsgegevens niet voor eigen marketing, dienstverlening aan andere klanten of andere zelfstandige doeleinden.

Wanneer Verwerker van mening is dat een instructie in strijd is met toepasselijke privacywetgeving, stelt Verwerker Verwerkingsverantwoordelijke daarvan zonder onnodige vertraging op de hoogte.

3. Aard en doel van de verwerking

Afhankelijk van de opdracht kan Verwerker persoonsgegevens ontvangen uit onder andere een ATS, CRM of vergelijkbaar bedrijfssysteem.

De verwerking kan bestaan uit:

ontvangen;
opslaan;
structureren;
controleren;
selecteren;
vergelijken;
analyseren;
samenvatten;
rapporteren;
verwijderen of teruggeven.

Het doel van de verwerking is uitsluitend de uitvoering van de overeengekomen dienstverlening, zoals nader beschreven in Bijlage 1.

4. Dataminimalisatie en aanlevering

Clarq One verwerkt alleen gegevens die redelijkerwijs nodig zijn voor de overeengekomen dienstverlening.

Voor Het Besluit vraagt Clarq One daarom in beginsel alleen om de kolommen die noodzakelijk zijn voor de nulmeting en analyse.

De klant wordt gevraagd om, waar dit eenvoudig mogelijk is, niet-noodzakelijke persoonsgegevens zoals namen, privécontactgegevens, cv's, vrije tekst, BSN-nummers en bijzondere persoonsgegevens buiten de aangeleverde export te laten.

De klant hoeft gegevens niet handmatig te anonimiseren, op te schonen of opnieuw samen te stellen wanneer dit niet eenvoudig mogelijk is.

Als de aangeleverde export toch persoonsgegevens bevat, verwerkt Clarq One deze overeenkomstig deze Verwerkersovereenkomst.

Clarq One kan de klant verzoeken duidelijk overbodige of bijzonder gevoelige gegevens niet aan te leveren wanneer deze niet noodzakelijk zijn voor de opdracht.

5. Verantwoordelijkheden van de klant

Verwerkingsverantwoordelijke blijft verantwoordelijk voor:

de rechtmatigheid van de verzameling en verwerking van persoonsgegevens;
het bestaan van een geldige grondslag;
het informeren van betrokkenen waar dat wettelijk vereist is;
het rechtmatig beschikbaar stellen van gegevens aan Verwerker.

Voor de standaarddienstverlening van Clarq One zijn BSN-nummers, strafrechtelijke persoonsgegevens en bijzondere categorieën persoonsgegevens, zoals medische gegevens, religie, ras of seksuele gerichtheid, niet nodig.

De klant wordt verzocht dergelijke gegevens niet aan te leveren en deze waar redelijkerwijs mogelijk uit exports te laten.

6. Vertrouwelijkheid

Verwerker behandelt persoonsgegevens vertrouwelijk.

Personen die namens Verwerker toegang krijgen tot persoonsgegevens:

krijgen uitsluitend toegang voor zover dit noodzakelijk is;
verwerken de gegevens alleen binnen de overeengekomen opdracht;
zijn gebonden aan passende geheimhouding.

Deze verplichtingen blijven ook na beëindiging van de opdracht gelden.

7. Beveiliging

Verwerker neemt passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen onder meer verlies, onbevoegde toegang, vernietiging, wijziging en ongeoorloofde openbaarmaking.

Waar passend omvat dit onder andere:

beperkte toegang tot personen die de gegevens daadwerkelijk nodig hebben;
sterke en unieke authenticatiegegevens;
multifactorauthenticatie waar beschikbaar;
beveiligde gegevensoverdracht;
beveiliging van gebruikte apparaten;
actuele software- en beveiligingsupdates;
passende back-up- en herstelmaatregelen;
procedures voor beveiligingsincidenten en verwijdering.

Verwerker evalueert deze maatregelen periodiek en past deze aan wanneer daar redelijkerwijs aanleiding voor bestaat.

8. Subverwerkers

Verwerkingsverantwoordelijke verleent Verwerker algemene toestemming om subverwerkers in te schakelen voor zover deze noodzakelijk zijn voor de dienstverlening.

Verwerker legt aan subverwerkers die persoonsgegevens namens Verwerkingsverantwoordelijke verwerken passende gegevensbeschermingsverplichtingen op.

Verwerker blijft tegenover Verwerkingsverantwoordelijke verantwoordelijk voor de naleving van deze verplichtingen door zijn subverwerkers.

Een actuele lijst van relevante subverwerkers is op verzoek beschikbaar.

Wanneer Verwerker een nieuwe relevante subverwerker toevoegt of vervangt, informeert Verwerker Verwerkingsverantwoordelijke daar vooraf over wanneer dat op grond van de toepasselijke privacywetgeving vereist is.

9. Verwerking buiten de EER

Voor zover persoonsgegevens buiten de Europese Economische Ruimte worden verwerkt, zorgt Verwerker ervoor dat daarvoor een geldige grondslag bestaat overeenkomstig de AVG.

Op redelijk verzoek verstrekt Verwerker informatie over relevante internationale doorgiften.

10. Datalekken en beveiligingsincidenten

Wanneer Verwerker kennisneemt van een inbreuk in verband met persoonsgegevens die namens Verwerkingsverantwoordelijke worden verwerkt, meldt Verwerker dit zonder onnodige vertraging aan Verwerkingsverantwoordelijke.

De melding bevat voor zover op dat moment bekend:

de aard van het incident;
de vermoedelijk betrokken persoonsgegevens en categorieën betrokkenen;
de mogelijke gevolgen;
de genomen of voorgenomen maatregelen;
relevante informatie voor nader onderzoek.

Ontbrekende informatie kan later worden aangevuld.

Verwerker verleent redelijke medewerking zodat Verwerkingsverantwoordelijke kan beoordelen of melding aan de Autoriteit Persoonsgegevens of betrokkenen noodzakelijk is.

11. Rechten van betrokkenen

Wanneer een betrokkene zich rechtstreeks tot Verwerker richt met een privacyverzoek betreffende persoonsgegevens die Verwerker namens de klant verwerkt, stuurt Verwerker dit verzoek zonder onnodige vertraging door aan Verwerkingsverantwoordelijke.

Verwerker verleent waar redelijkerwijs nodig ondersteuning bij verzoeken om onder andere:

inzage;
correctie;
verwijdering;
beperking;
bezwaar;
overdraagbaarheid.

12. Bewaartermijn en verwijdering

Verwerker bewaart persoonsgegevens niet langer dan noodzakelijk voor de overeengekomen dienstverlening.

Voor Het Besluit geldt de standaardbewaartermijn uit Bijlage 1.

Na beëindiging van de verwerking verwijdert Verwerker, naar keuze van Verwerkingsverantwoordelijke:

de persoonsgegevens; of
geeft Verwerker de persoonsgegevens terug en verwijdert vervolgens de eigen operationele kopieën,

tenzij een wettelijke verplichting vereist dat bepaalde persoonsgegevens langer worden bewaard.

Wanneer Verwerkingsverantwoordelijke geen keuze kenbaar maakt, verwijdert Clarq One de persoonsgegevens volgens de standaardtermijn uit Bijlage 1.

Gegevens in reguliere beveiligde back-ups mogen gedurende de normale back-upcyclus blijven bestaan, mits zij niet opnieuw voor normale operationele verwerking worden gebruikt en volgens die cyclus worden overschreven of verwijderd.

13. Geen hergebruik van klantdata

Verwerker gebruikt persoonsgegevens uit een opdracht niet voor:

andere klanten;
algemene trainingsdatasets;
eigen marketing;
zelfstandige commerciële doeleinden.

Gegevens die daadwerkelijk en onomkeerbaar zijn geanonimiseerd zodat personen niet meer redelijkerwijs identificeerbaar zijn, vallen hier niet onder.

Pseudonimisering alleen geldt niet als anonimisering.

14. Informatie en audits

Verwerker verstrekt op redelijk verzoek informatie die noodzakelijk is om naleving van deze Verwerkersovereenkomst aan te tonen.

Verwerkingsverantwoordelijke kan een redelijke controle of audit uitvoeren wanneer daarvoor aanleiding bestaat.

Partijen gebruiken waar mogelijk eerst bestaande documentatie voordat een fysieke audit plaatsvindt.

15. Duur en beëindiging

Deze Verwerkersovereenkomst geldt zolang Verwerker persoonsgegevens namens Verwerkingsverantwoordelijke verwerkt.

De overeenkomst eindigt nadat:

de onderliggende dienstverlening is beëindigd; en
de persoonsgegevens overeenkomstig deze overeenkomst zijn verwijderd of teruggegeven.

Verplichtingen die naar hun aard moeten voortduren, waaronder vertrouwelijkheid, blijven na beëindiging van kracht.

16. Aansprakelijkheid en toepasselijk recht

De aansprakelijkheidsregeling uit de Algemene Voorwaarden en de onderliggende overeenkomst tussen partijen is eveneens van toepassing op deze Verwerkersovereenkomst, voor zover wettelijk toegestaan.

Op deze Verwerkersovereenkomst is Nederlands recht van toepassing.

De geschillenregeling uit de Algemene Voorwaarden van Clarq One is eveneens van toepassing.

Bijlage 1 — Standaardverwerking voor Het Besluit

Deze bijlage geldt automatisch wanneer de klant Het Besluit afneemt en daarbij persoonsgegevens uit een ATS, CRM of vergelijkbaar systeem aan Clarq One verstrekt.

Dienst

Het Besluit.

Doel

Het uitvoeren van de overeengekomen nulmeting, analyse, diagnose, advisering en eventuele hermeting.

Uitgangspunt voor aanlevering

Clarq One vraagt de klant in beginsel alleen de kolommen te delen die voor de analyse nodig zijn. Bij voorkeur bevat de export uitsluitend:

datum waarop de opdracht/vacature is aangenomen;
status;
datum van plaatsing/start;
datum waarop de opdracht is afgesloten;
recruiter of interne recruitercode;
opdrachtgever of interne klantcode.

Daarnaast worden los van de export gevraagd:

aantal recruiters in FTE;
wat een gemiddelde plaatsing/start economisch vertegenwoordigt.

Waar relevante funnelgegevens eenvoudig beschikbaar zijn, kunnen aanvullende velden worden gebruikt, zoals:

aantal kandidaten;
matches;
voordrachten;
gesprekken;
aanbiedingen;
afwijzingen.

Deze aanvullende velden zijn niet standaard vereist.

Gegevens die in beginsel niet nodig zijn

Voor Het Besluit zijn in beginsel niet nodig:

namen van kandidaten;
privé-e-mailadressen of telefoonnummers;
cv's;
motivatiebrieven;
vrije tekst/notities;
BSN-nummers;
kopieën van identiteitsbewijzen;
bankgegevens;
medische gegevens;
strafrechtelijke persoonsgegevens;
andere bijzondere persoonsgegevens.

Waar het systeem dit eenvoudig toestaat, wordt de klant gevraagd deze gegevens niet mee te exporteren.

Als dergelijke persoonsgegevens toch onderdeel zijn van de aangeleverde export, vallen zij onder deze Verwerkersovereenkomst. De klant hoeft hiervoor niet handmatig de volledige export op te schonen wanneer dit niet eenvoudig mogelijk is.

Betrokkenen

Afhankelijk van de export kunnen gegevens betrekking hebben op:

kandidaten en sollicitanten;
recruiters en andere medewerkers;
contactpersonen bij opdrachtgevers;
andere personen die noodzakelijk voorkomen in de aangeleverde bedrijfsgegevens.

Verwerkingshandelingen

Ontvangen, opslaan, controleren, structureren, analyseren, vergelijken, samenvatten, rapporteren en verwijderen.

Duur

Vanaf ontvangst van de persoonsgegevens tot afronding van Het Besluit, inclusief de overeengekomen hermeting.

Verwijdering

Tenzij anders schriftelijk overeengekomen verwijdert Clarq One de oorspronkelijke ATS-/CRM-export en overige operationele persoonsgegevens uiterlijk binnen 30 dagen na afronding van de hermeting.

Wanneer geen hermeting plaatsvindt, geldt de termijn vanaf afronding van de overeengekomen dienstverlening.

De klant kan eerder om verwijdering verzoeken wanneer de persoonsgegevens niet langer noodzakelijk zijn voor de uitvoering van de opdracht.

Bijlage 2 — Subverwerkers

Clarq One kan voor de uitvoering van de dienstverlening gebruikmaken van externe software- en clouddienstverleners die als subverwerker kunnen optreden.

Een actuele lijst van relevante subverwerkers is op verzoek beschikbaar.

Clarq One zorgt ervoor dat relevante subverwerkers passende gegevensbeschermingsverplichtingen hebben en informeert klanten over relevante wijzigingen wanneer dit op grond van de toepasselijke privacywetgeving vereist is.

Contact

Vragen over deze Verwerkersovereenkomst kunnen worden gestuurd naar dylan@clarqone.com.