Juridisch
Verwerkersovereenkomst
Versie 1.0, 5 oktober 2026
Deze verwerkersovereenkomst hoort bij elke opdracht voor een vacaturecampagne en is van toepassing via artikel 13 van de algemene voorwaarden.
Partijen
De opdrachtgever: de werkgever die NewRecruits opdracht geeft voor een vacaturecampagne. Hierna: ‘verwerkingsverantwoordelijke’.
NewRecruits, een handelsnaam van Rocketstyle B.V., Groenekanseweg 70, 3732 AK De Bilt, KvK 81202997, vertegenwoordigd door R.J. de Vries. Hierna: ‘verwerker’.
Artikel 1. Onderwerp
De verwerker verwerkt persoonsgegevens van sollicitanten in opdracht van de verwerkingsverantwoordelijke, voor de vacaturecampagnes die partijen afspreken.
Welke gegevens, van wie, waarvoor en hoe lang staat in bijlage 1.
De verwerker verwerkt de gegevens alleen op schriftelijke instructie van de verwerkingsverantwoordelijke. De opdracht en deze overeenkomst gelden als die instructie. Vindt de verwerker een instructie in strijd met de privacywetgeving, dan meldt hij dat direct.
De verwerker gebruikt de gegevens niet voor eigen doeleinden.
Artikel 2. Duur
Deze overeenkomst geldt zolang de verwerker voor de verwerkingsverantwoordelijke persoonsgegevens verwerkt.
Na afloop van een vacaturecampagne bewaart de verwerker de gegevens van sollicitanten tot 4 weken nadat de vacature is gesloten, en verwijdert ze daarna. Wil de verwerkingsverantwoordelijke de gegevens eerder terugkrijgen of laten verwijderen, dan laat hij dat schriftelijk weten.
Artikel 3. Geheimhouding
De verwerker zorgt dat iedereen die namens hem toegang heeft tot de gegevens, tot geheimhouding verplicht is.
Artikel 4. Beveiliging
De verwerker neemt passende technische en organisatorische maatregelen om de gegevens te beveiligen. Bijlage 3 beschrijft die maatregelen.
De verwerker past de maatregelen aan als de stand van de techniek of de risico’s daar aanleiding toe geven.
Artikel 5. Sub-verwerkers
De verwerkingsverantwoordelijke geeft algemene toestemming voor het inschakelen van sub-verwerkers. De huidige sub-verwerkers staan in bijlage 2.
De verwerker meldt een nieuwe of vervangende sub-verwerker vooraf. De verwerkingsverantwoordelijke kan binnen 14 dagen gemotiveerd bezwaar maken. Komen partijen er niet uit, dan mag de verwerkingsverantwoordelijke de opdracht beëindigen.
De verwerker legt sub-verwerkers dezelfde verplichtingen op als in deze overeenkomst, en blijft verantwoordelijk voor hun handelen.
Artikel 6. Doorgifte buiten de EER
De verwerker verwerkt de gegevens in de Europese Economische Ruimte, tenzij in bijlage 2 anders staat. Vindt verwerking buiten de EER plaats, dan gebeurt dat alleen met passende waarborgen, zoals het EU-VS Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie.
Artikel 7. Datalekken
De verwerker meldt een datalek dat de gegevens van de verwerkingsverantwoordelijke raakt, zonder onredelijke vertraging en uiterlijk binnen 48 uur nadat hij het heeft ontdekt.
De melding bevat in elk geval: wat er is gebeurd, welke gegevens en hoeveel personen het betreft, de mogelijke gevolgen en de genomen maatregelen.
De verwerker helpt de verwerkingsverantwoordelijke bij een melding aan de Autoriteit Persoonsgegevens of aan betrokkenen. De verwerkingsverantwoordelijke beslist of en hoe er wordt gemeld.
Artikel 8. Rechten van sollicitanten
Krijgt de verwerker een verzoek van een sollicitant om inzage, correctie, verwijdering of een ander recht, dan stuurt hij dat direct door aan de verwerkingsverantwoordelijke, tenzij die de verwerker heeft gevraagd het zelf af te handelen.
Een verzoek om niet meer gebeld te worden of om gegevens te laten verwijderen via newrecruits.nl/gebeld-door-ons voert de verwerker direct uit, en hij meldt dat aan de verwerkingsverantwoordelijke.
De verwerker helpt de verwerkingsverantwoordelijke binnen redelijke grenzen om aan zulke verzoeken te voldoen.
Artikel 9. Controle
De verwerker geeft de verwerkingsverantwoordelijke de informatie die nodig is om te laten zien dat hij zich aan deze overeenkomst houdt.
De verwerkingsverantwoordelijke mag dat, na overleg over het moment, laten controleren door een onafhankelijke deskundige die geheimhouding heeft. De kosten zijn voor de verwerkingsverantwoordelijke, tenzij blijkt dat de verwerker zich niet aan deze overeenkomst houdt.
Artikel 10. Aansprakelijkheid
Voor de aansprakelijkheid van de verwerker geldt artikel 11 van de algemene voorwaarden, voor zover de wet dat toelaat.
Artikel 11. Toepasselijk recht
Op deze overeenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de rechtbank Midden-Nederland.
Bijlage 1. Specificatie van de verwerking
Betrokkenen: sollicitanten op vacatures van de verwerkingsverantwoordelijke.
Gegevens: naam, telefoonnummer, e-mailadres, woonplaats, antwoorden op de vragen in het sollicitatieformulier, en aantekeningen van het kennismakingsgesprek.
Doel: kennismaken met sollicitanten, een profiel opstellen op basis van een persoonlijke kennismaking, en de sollicitatie doorgeven aan de verwerkingsverantwoordelijke. Er vindt geen geautomatiseerde besluitvorming plaats.
Bewaartermijn: tot 4 weken nadat de vacature is gesloten.
Ontvangers: alleen de verwerkingsverantwoordelijke.
Bijlage 2. Sub-verwerkers
Supabase: hosting en database van het sollicitantenportaal. Locatie: Europa.
Microsoft (Microsoft 365): e-mail. Locatie: EER, met mogelijke doorgifte naar de VS onder het EU-VS Data Privacy Framework.
Meta Platforms Ireland: leadformulieren op de Facebook- en Instagrampagina van de opdrachtgever. Locatie: Ierland, met doorgifte naar de VS onder het Data Privacy Framework.
Bijlage 3. Beveiligingsmaatregelen
Toegang tot het portal alleen voor medewerkers die het nodig hebben, elk met een persoonlijk account en tweestapsverificatie.
Versleutelde verbindingen (https) en versleutelde opslag bij de hostingpartij.
Rechten per rol: een werkgever ziet alleen zijn eigen sollicitanten.
Gegevens van sollicitanten worden 4 weken na het sluiten van de vacature automatisch verwijderd.
Medewerkers zijn tot geheimhouding verplicht.
Datalekken en beveiligingsincidenten worden geregistreerd.