Verwerkersovereenkomst

Laatst bijgewerkt: 5 november 2026

Dit is een Nederlandse vertaling. Bij verschillen tussen deze vertaling en de Engelse tekst is de Engelse tekst leidend.

Link B.V., ingeschreven in Nederland (inschrijfnummer 42145519), sluit deze verwerkersovereenkomst (“Verwerkersovereenkomst”) met jou, de Klant, in verband met het gebruik van het softwareplatform van Link.

Deze Verwerkersovereenkomst maakt deel uit van de Algemene voorwaarden tussen Link en de Klant. Als deze Verwerkersovereenkomst strijdig is met andere onderdelen van de overeenkomst, gaat deze Verwerkersovereenkomst voor. Link treedt op als Verwerker. De Klant treedt op als Verwerkingsverantwoordelijke. Beide partijen zetten zich in om hun verplichtingen op grond van de AVG na te komen.

Wat we verwerken

Link verwerkt persoonsgegevens voor de volgende doeleinden: het beheren van sollicitaties en kandidaatprofielen, het mogelijk maken van communicatie tussen de Klant en kandidaten, het versturen van geautomatiseerde meldingen, het volgen van de voortgang van sollicitaties, het bijhouden van een talentpool voor toekomstige vacatures en het beheren van gebruikersaccounts. Link verwerkt geen persoonsgegevens voor eigen doeleinden.

Het gaat om twee categorieën personen: kandidaten die via Link hebben gesolliciteerd op een functie bij de Klant, en gebruikers die namens de Klant toegang hebben tot het platform.

Voor kandidaten omvat dit identiteits- en contactgegevens (naam, e-mailadres, telefoonnummer, woonadres, geboortedatum), professionele informatie (cv, werkervaring, kwalificaties, functievoorkeuren) en wervingsgegevens (sollicitatiegegevens, correspondentie, beschikbaarheid, taalvaardigheid).

Voor gebruikers omvat dit accountgegevens (e-mailadres, gehasht wachtwoord), contactgegevens (naam, e-mailadres) en apparaatgegevens (IP-adres, tijdstippen van inloggen).

Hoe we met je gegevens omgaan

Link verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Klant, zoals beschreven in deze Verwerkersovereenkomst en de Algemene voorwaarden. Als Link van mening is dat een instructie in strijd is met de AVG, informeert Link de Klant daarover zonder onnodige vertraging. Als EU-recht of nationaal recht verwerking buiten die instructies vereist, stelt Link de Klant daarvan vooraf op de hoogte, tenzij de wet dat verbiedt. Link houdt een register bij van alle verwerkingsactiviteiten die zij namens de Klant uitvoert (artikel 30, lid 2, AVG).

Beveiliging van gegevens

Link heeft de technische en organisatorische maatregelen getroffen die zijn beschreven in het onderdeel Beveiligingsmaatregelen van deze Verwerkersovereenkomst. Deze maatregelen kunnen op elk moment worden bijgewerkt, mits ze blijven voldoen aan de eisen van artikel 32 AVG.

Toegang en vertrouwelijkheid

Toegang tot persoonsgegevens binnen Link is beperkt tot medewerkers die deze nodig hebben voor hun werk. Al deze medewerkers zijn gebonden aan geheimhoudingsverplichtingen. Persoonsgegevens worden alleen aan derden verstrekt als de Klant daarvoor uitdrukkelijk toestemming heeft gegeven, als dat nodig is om de dienst te leveren of als de wet dat vereist. Derden die worden ingeschakeld voor ontwikkeling of onderhoud zijn contractueel gebonden aan gelijkwaardige verplichtingen op het gebied van geheimhouding en gegevensbescherming.

Subverwerkers

Link werkt met een aantal subverwerkers om haar platform te leveren. De Klant geeft Link algemene toestemming om de subverwerkers in te schakelen die zijn genoemd in het onderdeel Subverwerkers van deze Verwerkersovereenkomst. Link kan deze lijst op elk moment bijwerken door een herziene versie op haar website te publiceren. Voortgezet gebruik van het platform geldt als aanvaarding van eventuele wijzigingen. Link blijft er volledig verantwoordelijk voor dat alle subverwerkers voldoen aan dezelfde normen voor gegevensbescherming als in deze Verwerkersovereenkomst zijn vastgelegd.

Doorgifte van gegevens buiten de EER

Als subverwerkers buiten de EER zijn gevestigd, zorgt Link ervoor dat alle doorgiften van persoonsgegevens voldoen aan de eisen van de AVG. Doorgiften zijn gebaseerd op het EU-VS Data Privacy Framework (DPF) als de subverwerker daarvoor is gecertificeerd, met modelcontractbepalingen (Standard Contractual Clauses, SCC’s) als terugvaloptie, of op SCC’s als er geen DPF-certificering van toepassing is.

Ondersteuning van de Klant

Als een betrokkene een verzoek indient om zijn of haar rechten uit te oefenen, stuurt Link dit door naar de Klant, die het verzoek afhandelt. Link biedt waar nodig ook redelijke ondersteuning bij gegevensbeschermingseffectbeoordelingen (DPIA’s) en daarmee samenhangende verplichtingen op grond van de AVG.

Incidenten en datalekken

Als Link kennis krijgt van een datalek met betrekking tot persoonsgegevens die zij verwerkt, stelt zij de Klant binnen 24 uur op de hoogte, voert zij een onderzoek uit en deelt zij zo snel mogelijk alle relevante informatie. Link neemt alle redelijke maatregelen om eventuele schade te beperken en ondersteunt de Klant bij diens reactie.

Controle

De Klant mag eenmaal per jaar controleren of Link deze Verwerkersovereenkomst naleeft, of vaker als daar een redelijke aanleiding voor is. Een controle moet plaatsvinden tijdens kantooruren, met voldoende aankondiging vooraf en met zo min mogelijk verstoring van de werkzaamheden van Link. Op verzoek verstrekt Link beschikbare certificeringen en auditrapporten van Link en haar subverwerkers. De kosten komen voor rekening van de Klant, tenzij een wezenlijke tekortkoming van Link wordt vastgesteld. Van een wezenlijke tekortkoming is sprake als Link de beveiligingsmaatregelen structureel niet naleeft, of als een datalek optreedt door nalatigheid van Link.

Einde van de overeenkomst

Kandidaten met de status “Niet aangenomen” worden na 4 weken automatisch verwijderd, tenzij ze aan de Talent Pool zijn toegevoegd. Kandidaten in de Talent Pool worden daarvan op de hoogte gesteld, kunnen zich op elk moment afmelden en worden na 12 maanden automatisch verwijderd. Overige gegevens worden bewaard zolang de Klant dat nodig heeft, of totdat de Klant om verwijdering verzoekt. Als er geen bewaartermijn is ingesteld, worden gegevens bewaard gedurende de looptijd van de overeenkomst. Wanneer de overeenkomst eindigt, heeft de Klant 30 dagen de tijd om zijn gegevens te exporteren. Na deze periode verwijdert Link alle persoonsgegevens definitief, tenzij bewaring wettelijk verplicht is.

Aansprakelijkheid

Aansprakelijkheid op grond van deze Verwerkersovereenkomst wordt beheerst door het onderdeel Beperking van aansprakelijkheid van de Algemene voorwaarden.

Subverwerkers

Vercel Inc. — Hosting van de front-end. Gegevens worden verwerkt en opgeslagen in Europa. (SOC 2 Type II, ISO 27001)

Render (Render Services, Inc.) — Backendhosting en infrastructuur. Gegevens worden verwerkt en opgeslagen in Europa. (SOC 2 Type II, ISO 27001)

Supabase Inc. — Database-opslag en authenticatie. Gegevens worden verwerkt en opgeslagen in Europa. (SOC 2 Type II, ISO 27001)

Airtable Inc. — Interne rapportage over sollicitatieconversie. Optioneel, kan per Klant worden uitgeschakeld. Verwerkt naam van de kandidaat, sollicitatielocatie, status, functie en de datums van sollicitatie, gesprek, proefdienst en start. Gevestigd in de Verenigde Staten. (DPF/SCC’s, SOC 2 Type II, ISO 27001)

Make (Celonis SE) — Procesautomatisering. Gegevens worden verwerkt en opgeslagen in Europa. (SOC 2 Type II, ISO 27001)

PostHog Inc. — Productanalyse. Gegevens worden verwerkt en opgeslagen in Europa. (SOC 2 Type II)

Sentry (Functional Software Inc.) — Foutmonitoring. Verwerkt alleen naam en e-mailadres van Link-gebruikers, geen kandidaatgegevens. Gegevens worden verwerkt en opgeslagen in Europa. (SOC 2 Type II, ISO 27001)

Postmark (Wildbit LLC) — Verzending van transactionele e-mail. Verwerkt naam en e-mailadres om geautomatiseerde e-mails en chatberichten aan kandidaten en gebruikers te bezorgen. Gevestigd in de Verenigde Staten. (SCC’s, SOC 2)

Intercom Inc. — Klantenondersteuning. Verwerkt alleen naam en e-mailadres van Link-gebruikers, nooit kandidaatgegevens. Gevestigd in de Verenigde Staten. (DPF-gecertificeerd, SCC’s als terugvaloptie, SOC 2 Type II, ISO 27001)

Alle subverwerkers buiten de EER zijn via modelcontractbepalingen (SCC’s) of het EU-VS Data Privacy Framework (DPF) gebonden aan de eisen van de AVG. Waar van toepassing beschikken subverwerkers over beveiligingscertificeringen, waaronder SOC 2 Type II, ISO 27001 en/of ISO 27701.

Beveiligingsmaatregelen

Versleuteling

AES-256-versleuteling van alle opgeslagen gegevens, inclusief databases en dagelijkse back-ups, en TLS voor alle gegevens tijdens verzending. Sleutels worden beheerd via AWS KMS in Frankfurt (EU). Gevoelige velden worden daarnaast op applicatieniveau versleuteld. Back-ups ondersteunen herstel naar een specifiek tijdstip. Alle wachtwoorden worden gehasht.

Toegangsbeheer

Op rollen gebaseerde rechten zorgen ervoor dat gebruikers alleen toegang hebben tot gegevens die relevant zijn voor hun rol. Toegang tot productiesystemen is beperkt tot een minimaal aantal interne medewerkers, die allemaal gebonden zijn aan geheimhoudingsverplichtingen. Gebruikers kunnen tweestapsverificatie (2FA) op hun eigen account aanzetten als extra beveiliging bij het inloggen. Link raadt aan dit te doen voor alle accounts met toegang tot gegevens van sollicitanten.

Monitoring en incidentrespons

Realtime foutmonitoring via Sentry. Gebruiksmonitoring via PostHog, met geanonimiseerde IP-adressen, gemaskeerde invoervelden en zonder het vastleggen van consolelogs. Sessieopnamen worden 30 dagen bewaard, gebeurtenisgegevens 12 maanden. Datalekken worden binnen 24 uur aan de Klant gemeld.

Infrastructuur

Applicatie en database worden gehost in EU-regio’s, met regelmatige beveiligingsupdates voor alle infrastructuuronderdelen.

Vragen over deze Verwerkersovereenkomst? Neem contact met ons op via info@link-hospitality.com