Juridisch
Versie [email protected] · Laatst bijgewerkt: 4 november 2026 (Europe/Amsterdam). Verwerking van persoonsgegevens door BoldATS als verwerker.
1.1 Deze verwerkersovereenkomst (“Verwerkersovereenkomst”) wordt gesloten tussen de klant die een Abonnement of Proefperiode voor BoldATS is aangegaan (de “Klant”, als verwerkingsverantwoordelijke) en S. Simon Communication, handelend onder de naam BoldATS (“BoldATS”, als verwerker). S. Simon Communication is ingeschreven in het Handelsregister van de Kamer van Koophandel (KvK) onder nummer 62685252, heeft btw-identificatienummer NL002218668B93 en is gevestigd aan Pier Christiaanswei 11A, 8508 SB Delfstrahuizen, Nederland.
1.2 Deze Verwerkersovereenkomst hoort bij de Algemene voorwaarden van BoldATS (de “Voorwaarden”) en is van toepassing op alle verwerkingen van persoonsgegevens die BoldATS namens de Klant uitvoert bij het leveren van de BoldATS-dienst (de “Dienst”).
1.3 Deze Verwerkersovereenkomst is niet van toepassing op persoonsgegevens die BoldATS als verwerkingsverantwoordelijke voor eigen doeleinden verwerkt, zoals de marketingwebsite, aanvragen voor proefperiodes, demo’s en contact, accountbeheer, betaling en facturatie, en productsupport (behalve Persoonsgegevens van de Klant die in supportverzoeken worden gedeeld; zie Bijlage C). Die verwerkingen zijn beschreven in de Privacyverklaring.
1.4 Deze Verwerkersovereenkomst is bedoeld om te voldoen aan de eisen van artikel 28, lid 3, van Verordening (EU) 2016/679 (Algemene verordening gegevensbescherming, “AVG”).
2.1 Begrippen als “persoonsgegevens”, “verwerking”, “verwerkingsverantwoordelijke”, “verwerker”, “betrokkene”, “inbreuk in verband met persoonsgegevens” en “toezichthoudende autoriteit” hebben de betekenis die de AVG daaraan geeft. Begrippen met een hoofdletter die in deze Verwerkersovereenkomst niet zijn gedefinieerd, hebben de betekenis uit de Voorwaarden.
3.1 Het onderwerp van de verwerking is het leveren van de Dienst: het SaaS Applicant Tracking System (ATS) voor recruitment- en hiringworkflows, waaronder kandidaten, vacatures, sollicitaties, pipelines en bijbehorende automatisering.
3.2 De aard en het doel van de verwerking, de soorten persoonsgegevens en de categorieën betrokkenen zijn beschreven in Bijlage A.
3.3 De verwerking duurt zolang het Abonnement of de Proefperiode loopt en daarna zolang BoldATS nog Persoonsgegevens van de Klant onder zich heeft overeenkomstig artikel 13 van deze Verwerkersovereenkomst.
4.1 Voor Persoonsgegevens van de Klant is de Klant verwerkingsverantwoordelijke en BoldATS verwerker. De Klant bepaalt het doel van en de middelen voor de verwerking.
4.2 De Klant is verantwoordelijk voor de rechtmatigheid van de verwerking, waaronder een geldige grondslag, het informeren van betrokkenen en de juistheid van de persoonsgegevens die hij in de Dienst invoert.
4.3 Treedt de Klant zelf op als verwerker voor een derde, dan staat de Klant ervoor in dat zijn instructies door die verwerkingsverantwoordelijke zijn geautoriseerd; BoldATS treedt dan op als subverwerker van de Klant.
5.1 BoldATS verwerkt Persoonsgegevens van de Klant uitsluitend op basis van schriftelijke instructies van de Klant, ook wat betreft doorgiften naar een derde land, tenzij een op BoldATS van toepassing zijnde Unierechtelijke of lidstatelijke bepaling anders vereist. In dat geval stelt BoldATS de Klant vóór de verwerking van dat wettelijke voorschrift in kennis, tenzij die wetgeving deze kennisgeving om gewichtige redenen van algemeen belang verbiedt.
5.2 De Voorwaarden, deze Verwerkersovereenkomst en het gebruik en de configuratie van de Dienst door de Klant (waaronder instellingen van geautoriseerde gebruikers) vormen de volledige schriftelijke instructies van de Klant. Aanvullende instructies worden schriftelijk gegeven en moeten passen binnen de Voorwaarden en de functionaliteit van de Dienst.
5.3 BoldATS stelt de Klant onmiddellijk in kennis als een instructie naar zijn mening inbreuk oplevert op de AVG of op andere Unierechtelijke of lidstatelijke bepalingen inzake gegevensbescherming. BoldATS mag de uitvoering van zo’n instructie opschorten totdat deze is bevestigd of aangepast.
5.4 BoldATS verwerkt Persoonsgegevens van de Klant niet voor eigen doeleinden, verkoopt ze niet en gebruikt ze niet voor advertenties of voor profilering buiten de instructies van de Klant.
6.1 BoldATS waarborgt dat de personen die gemachtigd zijn om Persoonsgegevens van de Klant te verwerken, zich tot geheimhouding hebben verbonden of door een passende wettelijke verplichting tot geheimhouding zijn gebonden.
6.2 Toegang door BoldATS tot Persoonsgegevens van de Klant is beperkt tot wat nodig is om de Dienst te leveren, te beveiligen en te ondersteunen, of om aan de wet te voldoen.
7.1 BoldATS neemt passende technische en organisatorische maatregelen als bedoeld in artikel 32 AVG, rekening houdend met de stand van de techniek, de uitvoeringskosten, de aard, de omvang, de context en het doel van de verwerking en het risico voor de rechten en vrijheden van natuurlijke personen. De maatregelen zijn beschreven in Bijlage B.
7.2 BoldATS mag de maatregelen bijwerken, mits het algehele beveiligingsniveau niet daalt.
7.3 De Klant is verantwoordelijk voor de beveiliging van zijn eigen accounts en apparaten, waaronder het beheer van gebruikers en rechten, het gebruik van sterke wachtwoorden en, waar beschikbaar, multifactorauthenticatie.
8.1 De Klant verleent BoldATS algemene schriftelijke toestemming om Subverwerkers in te schakelen. De Subverwerkers die op de datum van deze Verwerkersovereenkomst zijn ingeschakeld, zijn beschreven in Bijlage C.
8.2 BoldATS informeert de Klant ten minste veertien (14) dagen vooraf, per e-mail en/of in de Dienst, over een voorgenomen toevoeging of vervanging van een Subverwerker. Is een vervanging met spoed nodig om de beveiliging of de continuïteit van de Dienst te waarborgen, dan mag BoldATS de nieuwe Subverwerker eerder inschakelen; BoldATS informeert de Klant daarover dan zonder onredelijke vertraging. De Klant kan schriftelijk en op redelijke gronden van gegevensbescherming bezwaar maken binnen de termijn van veertien (14) dagen vóór de wijziging of, bij een spoedvervanging, binnen veertien (14) dagen na de melding. BoldATS beoordeelt het bezwaar en zoekt in overleg met de Klant binnen een redelijke termijn naar een redelijke oplossing, zoals een alternatief of aanvullende maatregelen. Komen partijen niet tot een oplossing, dan kan de Klant het betrokken deel van het Abonnement opzeggen met ingang van de datum waarop de nieuwe Subverwerker wordt ingeschakeld of, bij een spoedvervanging, met onmiddellijke ingang; reeds betaalde bedragen worden niet gerestitueerd, tenzij dwingend recht anders bepaalt. In afwijking daarvan restitueert BoldATS, uitsluitend als de Klant een gerechtvaardigd bezwaar op gronden van gegevensbescherming tegen een toegevoegde of vervangen Subverwerker heeft gemaakt, BoldATS geen passende oplossing biedt en de Klant om die reden het betrokken deel opzegt, pro rata het vooruitbetaalde bedrag over de resterende vooruitbetaalde periode van dat deel, gerekend vanaf de ingangsdatum van de opzegging.
8.3 BoldATS legt elke Subverwerker bij schriftelijke overeenkomst verplichtingen inzake gegevensbescherming op die ten minste hetzelfde beschermingsniveau bieden als deze Verwerkersovereenkomst, in het bijzonder voldoende garanties voor passende technische en organisatorische maatregelen.
8.4 BoldATS blijft jegens de Klant volledig aansprakelijk voor de nakoming van de verplichtingen van zijn Subverwerkers, binnen de grenzen van artikel 14.
9.1 BoldATS geeft Persoonsgegevens van de Klant alleen door naar een land buiten de Europese Economische Ruimte (EER) als aan de voorwaarden van hoofdstuk V AVG is voldaan, bijvoorbeeld op basis van een adequaatheidsbesluit (waaronder het EU-VS Data Privacy Framework voor gecertificeerde ontvangers) of de door de Europese Commissie vastgestelde standaardcontractbepalingen (Besluit (EU) 2021/914), zo nodig met aanvullende maatregelen.
9.2 Doorgiften en de waarborgen die daarvoor worden gebruikt, zijn beschreven in Bijlage D.
10.1 Rechten van betrokkenen: rekening houdend met de aard van de verwerking helpt BoldATS de Klant door middel van passende technische en organisatorische maatregelen, voor zover mogelijk, bij het vervullen van zijn plicht om verzoeken van betrokkenen te beantwoorden (inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar). Waar de Dienst daarvoor functies biedt, kan de Klant die zelf gebruiken. Ontvangt BoldATS rechtstreeks een verzoek, dan stuurt BoldATS dit zonder onredelijke vertraging door naar de Klant en reageert BoldATS niet zelf, tenzij de Klant daartoe opdracht geeft.
10.2 Overige verplichtingen: rekening houdend met de aard van de verwerking en de informatie waarover BoldATS beschikt, helpt BoldATS de Klant bij het doen nakomen van de artikelen 32 tot en met 36 AVG (beveiliging, melding van inbreuken in verband met persoonsgegevens, gegevensbeschermingseffectbeoordelingen en voorafgaande raadpleging van de toezichthoudende autoriteit).
10.3 BoldATS kan na voorafgaande mededeling redelijke kosten in rekening brengen voor bijstand die verder gaat dan de standaardfuncties van de Dienst, tenzij de bijstand nodig is door een schending van deze Verwerkersovereenkomst door BoldATS.
11.1 BoldATS meldt een inbreuk in verband met persoonsgegevens die Persoonsgegevens van de Klant betreft zonder onredelijke vertraging nadat BoldATS ervan kennis heeft genomen, en waar mogelijk binnen 48 uur, zodat de Klant zijn eigen verplichtingen uit de artikelen 33 en 34 AVG kan nakomen.
11.2 De melding bevat, voor zover bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en gegevensregistraties, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een contactpunt voor nadere informatie. De eerste melding mag voorlopig zijn. Informatie die nog niet beschikbaar is, wordt verstrekt zodra die beschikbaar is, zonder verdere onredelijke vertraging en zo nodig in fasen.
11.3 BoldATS neemt redelijke maatregelen om de inbreuk in te dammen en de gevolgen te beperken, en documenteert de inbreuk. Een melding door BoldATS is geen erkenning van schuld of aansprakelijkheid.
11.4 De Klant beslist als verwerkingsverantwoordelijke of melding aan de toezichthoudende autoriteit en aan betrokkenen plaatsvindt.
12.1 BoldATS stelt alle informatie ter beschikking die nodig is om de nakoming van de verplichtingen uit artikel 28 AVG aan te tonen, zoals een beschrijving van de beveiligingsmaatregelen en relevante documentatie van Subverwerkers.
12.2 (a) Reguliere audit: is die informatie aantoonbaar onvoldoende, dan kan de Klant een audit laten uitvoeren, ten hoogste eenmaal per kalenderjaar, met een schriftelijke aankondiging van ten minste dertig (30) dagen, tijdens kantooruren en zonder onevenredige verstoring van de bedrijfsvoering van BoldATS. (b) Uitzonderingsaudit: daarnaast kan de Klant, ongeacht of de informatie uit artikel 12.1 toereikend is en zonder jaarlimiet, een audit laten uitvoeren bij: (i) een inbreuk in verband met persoonsgegevens die de Persoonsgegevens van de Klant heeft getroffen; (ii) een ernstig beveiligingsincident dat de Persoonsgegevens van de Klant raakt of kan raken; (iii) een concrete aanwijzing voor een schending van deze Verwerkersovereenkomst; of (iv) een verzoek of bevel van een bevoegde toezichthoudende autoriteit. Voor een uitzonderingsaudit geldt een kortere, redelijke aankondigingstermijn of, waar dat wettelijk vereist is, onmiddellijke medewerking; zo’n audit is proportioneel en blijft waar mogelijk beperkt tot de betrokken gegevens en systemen. Elke audit wordt uitgevoerd door de Klant of door een onafhankelijke auditor die tot geheimhouding is verplicht, onder redelijke vertrouwelijkheids- en beveiligingsvoorwaarden; de auditor krijgt geen toegang tot gegevens van andere klanten van BoldATS. Dit artikel 12 beperkt geen wettelijke audit- of inspectierechten van de Klant of van toezichthoudende autoriteiten.
12.3 De kosten van een reguliere audit komen in beginsel voor rekening van de Klant. Blijkt uit een audit een aantoonbare wezenlijke tekortkoming van BoldATS in de nakoming van deze Verwerkersovereenkomst, dan draagt BoldATS de redelijke kosten van die audit. Kostenafspraken schorten de wettelijk vereiste medewerking aan de Klant of aan een toezichthoudende autoriteit nooit op en blokkeren die niet. Audits bij Subverwerkers verlopen via de auditrapporten en certificeringen die zij beschikbaar stellen.
13.1 Na afloop van het Abonnement krijgt de Klant een redelijke gelegenheid om zijn gegevens te exporteren, voor zover de Dienst dat mogelijk maakt (Voorwaarden, artikel 24). Is export via de Dienst niet (volledig) mogelijk, dan stelt BoldATS de Persoonsgegevens van de Klant op diens verzoek binnen 30 dagen in een gangbaar, machineleesbaar formaat ter beschikking.
13.2 Na de exportperiode en een eventuele bewaarperiode na de Proefperiode (Voorwaarden, artikel 7) verwijdert BoldATS de Persoonsgegevens van de Klant op beheerste wijze, tenzij opslag op grond van Unierecht of lidstatelijk recht verplicht is of een legal hold geldt.
13.3 Kopieën in back-ups worden niet voor andere doeleinden teruggezet en worden in de normale back-upcyclus overschreven (zie Bijlage B). Tot dat moment blijven zij onder deze Verwerkersovereenkomst beschermd.
13.4 Op verzoek van de Klant bevestigt BoldATS schriftelijk dat de verwijdering heeft plaatsgevonden.
14.1 De aansprakelijkheid van partijen onder deze Verwerkersovereenkomst is onderworpen aan de aansprakelijkheidsbeperkingen in de Voorwaarden (artikel 22), voor zover de wet dat toestaat.
14.2 Niets in deze Verwerkersovereenkomst beperkt de rechten van betrokkenen op grond van artikel 82 AVG of aansprakelijkheid die op grond van dwingend recht niet kan worden beperkt.
15.1 Deze Verwerkersovereenkomst maakt deel uit van de Voorwaarden, wordt aanvaard samen met de Voorwaarden en geldt vanaf de start van de Proefperiode of, zonder Proefperiode, van het Abonnement. Zij blijft van kracht zolang BoldATS namens de Klant Persoonsgegevens van de Klant verwerkt.
15.2 Verplichtingen die naar hun aard bedoeld zijn om na het einde van deze Verwerkersovereenkomst door te lopen, zoals geheimhouding, verwijdering en aansprakelijkheid, blijven van kracht.
16.1 Bij strijdigheid tussen deze Verwerkersovereenkomst en de Voorwaarden over de verwerking van Persoonsgegevens van de Klant gaat deze Verwerkersovereenkomst voor. Standaardcontractbepalingen gaan, waar van toepassing, voor op deze Verwerkersovereenkomst.
17.1 Elke versie van deze Verwerkersovereenkomst heeft een versie-aanduiding. Deze versie: [email protected].
17.2 BoldATS mag deze Verwerkersovereenkomst wijzigen als dat nodig is door wijzigingen in de wet, richtsnoeren van toezichthoudende autoriteiten of wijzigingen in de Dienst of de Subverwerkers. Wezenlijke wijzigingen worden met een redelijke termijn vooraf aangekondigd. Wijzigingen mogen het door de AVG vereiste beschermingsniveau van Persoonsgegevens van de Klant niet verlagen.
18.1 Op deze Verwerkersovereenkomst is Nederlands recht van toepassing. Geschillen worden voorgelegd aan de bevoegde rechter overeenkomstig artikel 26 van de Voorwaarden.
18.2 Deze Verwerkersovereenkomst is beschikbaar in het Nederlands, Engels en Duits. Bij verschillen tussen taalversies prevaleert de Nederlandse tekst.
BoldATS neemt passende technische en organisatorische maatregelen, die in elk geval maatregelen omvatten op de volgende gebieden: toegangsbeheer en autorisatie op basis van noodzaak; scheiding tussen klantomgevingen (tenants); vastlegging van relevante handelingen (auditlogs); beveiliging van gegevens tijdens transport; back-up en herstel, waarbij back-upkopieën na maximaal 30 dagen automatisch worden verwijderd; en geheimhoudingsverplichtingen voor personen met toegang tot Persoonsgegevens van de Klant.
Een gedetailleerde, actuele beschrijving van de technische en organisatorische maatregelen is op verzoek beschikbaar via de contactpagina.
BoldATS schakelt de volgende Subverwerkers in voor Persoonsgegevens van de Klant. De actuele lijst van Subverwerkers staat hieronder en maakt deel uit van deze Bijlage. Wijzigingen worden aangekondigd volgens artikel 8.2.
Geen subverwerkers voor Persoonsgegevens van de Klant (BoldATS is voor deze gegevens verwerkingsverantwoordelijke; zie de Privacyverklaring): Cloudflare (marketingwebsite), Typeform (demo-, contact- en proefperiodeformulieren op de website), WeFact (facturatie en factuurmail), Stripe (betalingen) en websiteanalytics (indien ingeschakeld).
Verwerkt een Subverwerker Persoonsgegevens van de Klant buiten de EER — wat ook de Verenigde Staten kan betreffen — of zijn die gegevens van buiten de EER toegankelijk, dan gebeurt dat alleen overeenkomstig artikel 9 (hoofdstuk V AVG), bijvoorbeeld op basis van het EU-VS Data Privacy Framework voor gecertificeerde ontvangers of de standaardcontractbepalingen (Besluit (EU) 2021/914), zo nodig met aanvullende maatregelen.
De betrokken ontvangers, locaties en waarborgen staan per Subverwerker in Bijlage C.
Contact voor privacyzaken en verzoeken onder deze Verwerkersovereenkomst: via de contactpagina.