Privacybeleid van RovoCareer

1. Begripsbepalingen

• AVG — Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens.
• Verwerkingsverantwoordelijke — de partij die het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt, te weten de beheerder van de dienst RovoCareer.
• Gebruiker — iedere natuurlijke persoon die gebruikmaakt van de dienst RovoCareer en van wie persoonsgegevens worden verwerkt.
• Persoonsgegevens — alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.
• Verwerking — elke handeling met betrekking tot persoonsgegevens, zoals verzamelen, bewaren, raadplegen, wijzigen, delen of wissen.
• Verwerker — een externe partij die gegevens verwerkt namens en ten behoeve van de verwerkingsverantwoordelijke op grond van een verwerkersovereenkomst (bijvoorbeeld Supabase).
• Toestemming — een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de gebruiker instemt met de verwerking van zijn persoonsgegevens.
• Dienst — het onlineplatform RovoCareer, beschikbaar op rovocareer.com.

2. Omvang van de verzamelde gegevens

Afhankelijk van de manier waarop de dienst wordt gebruikt, kan de verwerkingsverantwoordelijke de volgende categorieën persoonsgegevens verwerken:

(a) Registratie- en accountgegevens

• e-mailadres dat bij de registratie of het inloggen is opgegeven,
• wachtwoord (uitsluitend in versleutelde vorm bewaard door Supabase Auth),
• identificatie van het Google-account en het Google-e-mailadres — bij inloggen via Google,
• datum en tijd van registratie en van de laatste keer inloggen.

(b) Cv-gegevens en inhoud van de gebruiker

• voor- en achternaam, woonadres, telefoonnummer, e-mailadres — voor zover de gebruiker die in de cv-bouwer heeft ingevoerd,
• beroepsmatige informatie: arbeidsverleden, opleiding, vaardigheden, resultaten, talen, interesses,
• profielfoto voor het cv — voor zover de gebruiker die heeft toegevoegd,
• alle overige inhoud die de gebruiker in de cv-bouwer heeft ingevoerd.

(c) Technische en gebruiksgegevens

• IP-adres van het apparaat,
• type en versie van de browser,
• besturingssysteem,
• datum en tijd van bezoeken aan afzonderlijke subpagina's,
• gegevens uit cookies en vergelijkbare volgtechnologie — overeenkomstig het cookiebeleid,
• systeemlogs van de dienst.

(d) Betaalgegevens

• transactiegegevens (bedrag, valuta, datum, betalingsidentificatie) — door de verwerkingsverantwoordelijke uitsluitend bewaard voor zover nodig voor de afhandeling van klachten en fiscale verplichtingen,
• volledige betaalkaartgegevens en bankrekeningnummers — uitsluitend verwerkt door Stripe; de verwerkingsverantwoordelijke heeft daar geen toegang toe.

De verwerkingsverantwoordelijke verzamelt en verwerkt geen bijzondere categorieën van gegevens (zoals gezondheidsgegevens, politieke overtuigingen of etnische afkomst), tenzij de gebruiker dergelijke gegevens zelf in de inhoud van zijn cv opneemt.

3. Doelen en rechtsgronden van de verwerking

De tabel hieronder geeft de doelen van de gegevensverwerking weer en de bijbehorende rechtsgronden.

Gegevens worden niet gebruikt voor geautomatiseerde profilering die rechtsgevolgen heeft of de gebruiker anderszins in vergelijkbare mate treft.

4. Bewaartermijn van gegevens

De verwerkingsverantwoordelijke bewaart persoonsgegevens gedurende de periode die nodig is om de doelen te bereiken waarvoor ze zijn verzameld, met inachtneming van de geldende wettelijke bepalingen. In het bijzonder:

• Account- en cv-gegevens — totdat de gebruiker zijn account verwijdert of om verwijdering van zijn gegevens verzoekt, plus een korte aanvullende periode die nodig is om eventuele daarmee samenhangende klachten af te handelen.
• Gegevens over betaaltransacties — gedurende 7 jaar na afloop van het belastingjaar waarin de transactie plaatsvond, overeenkomstig de fiscale bewaarplicht.
• Technische gegevens en systeemlogs — gedurende de periode die nodig is om de veiligheid van de site te waarborgen en misbruik op te sporen, niet langer dan 12 maanden na het ontstaan ervan, tenzij wettelijke bepalingen of een lopende procedure een langere bewaartermijn vereisen.
• Correspondentie en klachten — gedurende 3 jaar na de datum waarop de zaak is afgesloten, in verband met mogelijke vorderingen.
• Marketinggegevens — totdat de gebruiker zijn toestemming intrekt of met succes bezwaar maakt.

Na afloop van de bewaartermijn worden gegevens definitief verwijderd of geanonimiseerd op een manier die identificatie van de persoon onmogelijk maakt.

5. Ontvangers van gegevens — derden

Om de goede werking van de dienst te verzekeren, maakt de verwerkingsverantwoordelijke gebruik van diensten van derden, aan wie gebruikersgegevens worden toevertrouwd of verstrekt voor zover dat nodig is. Gegevens worden niet verkocht en niet met partijen gedeeld voor marketingdoeleinden.

(a) Supabase

Supabase Inc. treedt op als verwerker met betrekking tot de technische infrastructuur van de site — waaronder de database met accounts en cv's (Supabase Database), de opslag van bestanden en foto's (Supabase Storage) en de afhandeling van authenticatie (Supabase Auth). Gegevens kunnen worden bewaard op servers binnen of buiten de Europese Unie, met gebruik van modelcontractbepalingen of andere mechanismen die aan de AVG voldoen. Meer informatie: supabase.com/privacy.

(b) Stripe

Stripe Inc. of Stripe Payments Europe Limited handelt de betalingen via de dienst af. Stripe verwerkt transactiegegevens, informatie over de betaalmethode en identificerende gegevens van de gebruiker voor zover dat nodig is om betalingen te autoriseren en af te wikkelen. De verwerkingsverantwoordelijke heeft geen toegang tot volledige betaalkaartgegevens. Stripe treedt op als zelfstandig verwerkingsverantwoordelijke waar het gaat om de verwerking van gegevens voor fraudedetectie en het naleven van regelgeving. Meer informatie: stripe.com/privacy.

(c) Google

Google LLC verwerkt gegevens in twee situaties. Ten eerste bij het inloggen via een Google-account (Google OAuth) — Google deelt met de verwerkingsverantwoordelijke het e-mailadres en de accountidentificatie, voor zover de gebruiker daarvoor toestemming heeft gegeven in het autorisatievenster van Google. Ten tweede in verband met de dienst Google Analytics — Google verwerkt technische gegevens om anonieme verkeersstatistieken voor de site op te stellen. Analysegegevens kunnen worden doorgegeven aan servers van Google buiten de EER, met gebruik van modelcontractbepalingen. Meer informatie: policies.google.com/privacy.

(d) Overheidsinstanties

De verwerkingsverantwoordelijke kan verplicht zijn gegevens te verstrekken aan opsporingsdiensten of andere overheidsinstanties op grond van wettelijk bindende bepalingen. In dat geval worden gegevens uitsluitend verstrekt voor zover de geldende wetgeving dat vereist en na controle van de rechtsgrond voor het verzoek.

6. Doorgifte van gegevens naar het buitenland

Sommige van de derden waarvan de verwerkingsverantwoordelijke gebruikmaakt (Supabase, Stripe, Google) kunnen gegevens verwerken op servers buiten de Europese Economische Ruimte (EER), in het bijzonder in de Verenigde Staten. Doorgifte naar deze landen vindt plaats op basis van een van de volgende juridische mechanismen:

• modelcontractbepalingen die door de Europese Commissie zijn vastgesteld;
• een adequaatheidsbesluit (bijvoorbeeld op grond van het EU-VS Data Privacy Framework);
• andere juridische mechanismen die in overeenstemming zijn met hoofdstuk V van de AVG.

Gebruikers kunnen een kopie van de toegepaste waarborgen opvragen door contact op te nemen met de verwerkingsverantwoordelijke op het e-mailadres in paragraaf 16.

7. Rechten van gebruikers op het gebied van gegevensbescherming

Op grond van de AVG hebben gebruikers de volgende rechten met betrekking tot hun persoonsgegevens die door de verwerkingsverantwoordelijke worden verwerkt:

Wil je een van bovenstaande rechten uitoefenen, neem dan contact op met de verwerkingsverantwoordelijke op het e-mailadres in paragraaf 16. De verwerkingsverantwoordelijke reageert zonder onnodige vertraging, uiterlijk één maand na ontvangst van het verzoek. Zo nodig kan die termijn met twee maanden worden verlengd vanwege de complexiteit of het aantal verzoeken — waarover de verwerkingsverantwoordelijke de gebruiker informeert.

8. Cookies en volgtechnologie

De dienst gebruikt cookies en vergelijkbare technologie om de goede werking te verzekeren, verkeer te analyseren en inhoud te optimaliseren. Uitgebreide informatie over de gebruikte cookies, de soorten, de bewaartermijnen en het beheren van cookie-instellingen staat in een apart document: Cookiebeleid.

Bij analytische cookies (Google Analytics) berust de verwerking op het gerechtvaardigd belang van de verwerkingsverantwoordelijke bij het verbeteren van de kwaliteit en de functionaliteit van de dienst, dan wel op de toestemming van de gebruiker — afhankelijk van de configuratie van de site en de geldende regelgeving. Gebruikers kunnen hun cookievoorkeuren op elk moment beheren via de instellingen van hun browser of door op de betreffende link in de voettekst van de site te klikken.

9. Inloggen via Google (OAuth)

De dienst maakt inloggen via een Google-account mogelijk. Gebruik van deze optie betekent dat Google met de verwerkingsverantwoordelijke uitsluitend de gegevens deelt waarvoor de gebruiker in het autorisatievenster van Google toestemming heeft gegeven — doorgaans een e-mailadres en een accountidentificatie. De verwerkingsverantwoordelijke krijgt geen toegang tot het wachtwoord van het Google-account van de gebruiker.

De verhouding tussen de gebruiker en Google in verband met zijn Google-account wordt uitsluitend beheerst door de gebruiksvoorwaarden en het privacybeleid van Google, waarvoor de verwerkingsverantwoordelijke niet verantwoordelijk is. Gebruikers kunnen de aan de verwerkingsverantwoordelijke verleende rechten op elk moment intrekken in de instellingen van hun Google-account.

10. Dynamische suggesties (AI-functies)

De dienst biedt een functie met dynamische suggesties — automatisch opgestelde tekstvoorstellen voor een cv (taakomschrijvingen, vaardigheden, resultaten enzovoort) op basis van gegevens die de gebruiker in de bouwer heeft ingevoerd. De door de gebruiker ingevoerde gegevens kunnen worden verwerkt om deze suggesties te genereren.

De suggesties zijn uitsluitend ondersteunend van aard. De verwerkingsverantwoordelijke staat niet in voor de juistheid of bruikbaarheid ervan in een specifieke sollicitatieprocedure. Suggesties vormen geen geautomatiseerde besluitvorming met rechtsgevolgen in de zin van artikel 22 AVG.

11. Beveiliging van gegevens

De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om een op het risico afgestemd beveiligingsniveau te verzekeren, in het bijzonder:

• versleuteling van gegevensoverdracht via het HTTPS-protocol (TLS),
• hashing van wachtwoorden — wachtwoorden worden uitsluitend in de vorm van een eenrichtingshash bewaard door Supabase Auth,
• toegangscontrole op databaseniveau (Row Level Security),
• regelmatige updates van software en bibliotheken,
• monitoring van verdachte activiteit op de site.

Ondanks bovengenoemde maatregelen kan de verwerkingsverantwoordelijke geen volledige veiligheid van gegevensoverdracht via internet garanderen. Gebruikers zijn verplicht hun inloggegevens geheim te houden en de verwerkingsverantwoordelijke onverwijld te informeren bij een vermoeden van onbevoegde toegang tot hun account.

12. Gegevens van kinderen

De dienst is bedoeld voor volwassenen. De verwerkingsverantwoordelijke verzamelt niet bewust persoonsgegevens van personen jonger dan 16 jaar zonder toestemming van een ouder of wettelijk vertegenwoordiger. Komt de verwerkingsverantwoordelijke te weten dat hij zonder de vereiste toestemming gegevens van een kind onder deze leeftijd heeft verzameld, dan onderneemt hij onverwijld stappen om die te verwijderen.

13. Links naar externe diensten

De dienst kan links naar websites van derden bevatten. Dit privacybeleid geldt uitsluitend voor de dienst RovoCareer. De verwerkingsverantwoordelijke is niet verantwoordelijk voor de privacypraktijk van externe sites en raadt gebruikers aan het privacybeleid van die sites te lezen voordat zij daar persoonsgegevens achterlaten.

14. Wijzigingen in het privacybeleid

De verwerkingsverantwoordelijke behoudt zich het recht voor dit privacybeleid te wijzigen bij wijzigingen in de geldende wetgeving, in de werking van de dienst, in diensten van derden, of om andere gegronde redenen. Gebruikers worden over elke wezenlijke wijziging tijdig geïnformeerd — via een mededeling op de site of een e-mail naar het bij hun account bekende adres.

De datum van de laatste bijwerking van dit document staat boven aan de pagina. Voortgezet gebruik van de dienst na publicatie van een gewijzigd privacybeleid geldt als aanvaarding daarvan. Aanvaardt een gebruiker de wijzigingen niet, dan dient hij het gebruik van de dienst te staken en kan hij om verwijdering van zijn account verzoeken.

15. Slotbepalingen

Dit privacybeleid is onderworpen aan het geldende recht en dient te worden uitgelegd in overeenstemming met de AVG en de geldende nationale regelgeving inzake gegevensbescherming. Op onderwerpen die dit beleid niet regelt, is het toepasselijke recht van toepassing.

Mocht een bepaling van dit privacybeleid ongeldig of niet-afdwingbaar blijken, dan laat dat de geldigheid van de overige bepalingen onverlet.

16. Verwerkingsverantwoordelijke — contactgegevens

De verwerkingsverantwoordelijke voor de persoonsgegevens die binnen de dienst RovoCareer worden verwerkt, is:

Voor vragen over de verwerking van persoonsgegevens, het uitoefenen van rechten van betrokkenen of andere vragen over dit privacybeleid kun je contact opnemen via bovenstaand e-mailadres. De verwerkingsverantwoordelijke reageert zonder onnodige vertraging, doorgaans binnen 30 dagen na ontvangst van het bericht.