Kennisgeving subverwerkers

1.Technologische verwerkingsketen

1. 1.1Wanneer Xciterr een wervingsdoel van een uitzendbureau beheert en Automaize instrueert om de workflow te hosten of te beheren, treedt Automaize op als technologische verwerker van Xciterr. Wanneer een werkgever als Klant het doel bepaalt, moet in de toepasselijke order worden vastgelegd of Xciterr en Automaize verwerkers of subverwerkers zijn in die keten.
2. 1.2Automaize blijft een onafhankelijke verwerkingsverantwoordelijke voor de beperkte doeleinden van platformaccounts, beveiliging, toestemming, AI-verantwoording en naleving van wetgeving zoals geïdentificeerd in de Privacyverklaring; deze activiteiten vormen geen subverwerking onder instructies van een Klant.

2.Categorieën subverwerkers

Voordat een provider persoonsgegevens uit de productieomgeving verwerkt als onze subverwerker, moet deze worden ingeschakeld onder een schriftelijk contract dat verplichtingen oplegt die in overeenstemming zijn met Artikel 28 AVG. De relevante categorieën zijn:

1. 2.1Cloudhosting- en databaseservices die de applicatie hosten en persoonsgegevens opslaan, met de EER als primaire hostingregio.
2. 2.2AI-, spraak- en transcriptiediensten die cv's parseren, gestructureerde beoordelingen ondersteunen, audio van interviews opnemen en transcriberen, en beoordelingsresultaten genereren ter controle.
3. 2.3Communicatie- en e-mailbezorgdiensten die namens ons statusupdates, uitnodigingen voor interviews en accountberichten versturen.
4. 2.4Facturatie-, plannings-, observabiliteits-, DNS/beveiligings- en acquisitiemetingdiensten, elk beperkt tot de gegevens die nodig zijn voor de specifieke functie.

3.Huidige subverwerkers

Het productie-register voor subverwerkers voor bèta dekt de volgende leveranciers en toepassingen. Een leverancier blijft geblokkeerd voor productieverwerking totdat het statusitem is voltooid en geregistreerd in het compliance-pakket:

1. 3.1Google Cloud / Gemini / Firebase: AI-beoordeling, transcriptieondersteuning, embeddings, locatie-autocompletion, optionele crashdiagnostiek, push-bezorging, Google-authenticatie en optionele Google Agenda-synchronisatie. Gegevens: Gespreksprompts, transcripten, score-invoer, locatiezoekopdrachten, push-tokens, optionele crashdiagnostiek, authenticatie-identificatoren, versleutelde agenda-autorisatiegegevens, tijdsvensters voor agendabeschikbaarheid, details van eigen afspraken en beperkte operationele metadata. Regio/overdrachten: Standaard EU-regio's waar ondersteund; internationale overdrachten vallen onder de DPA van de aanbieder en overdrachtswaarborgen. Status: DPA en beoordeling van de impact op overdrachten vereist vóór productie-inschakeling.
2. 3.2Supabase: Postgres-database, authenticatie, opslag, edge-functies en realtime infrastructuur. Gegevens: Gegevens van kandidaten, werkgevers, sollicitaties, interviews, toestemming, audit, opslagobjecten en accountgegevens. Regio/overdrachten: EU-projectregio voor productiegegevens. Status: DPA, beveiligingsdocumentatie en bewijs van projectregio vereist vóór inschakeling in productie.
3. 3.3WorkOS: Enterprise werkgever SSO-verbindingsbemiddeling, directorysynchronisatie en IT-beheer voor klanten. Gegevens: Identiteitskenmerken van werkgevers, zakelijk e-mailadres, weergavenaam, identificatiegegevens van organisatie/directory/groep en metadata van authenticatie- of provisioneringsgebeurtenissen. Regio/overdrachten: Door de aanbieder gehoste identiteitsinfrastructuur; EER-overdracht en de status van gegevensresidentie moeten vóór productiegebruik worden gedocumenteerd. Status: Uitgeschakeld; DPA, overdrachtsimpact, bewaartermijn, beveiliging en beoordeling van subverwerkers vereist vóór inschakeling in productie.
4. 3.4Vercel: Hosting van webapplicaties, CDN-levering, preview-implementaties en applicatielogs. Gegevens: Metadata van HTTP-verzoeken, applicatielogs en beperkte account/sessie-identifiers. Regio/overdrachten: Edge-netwerk met EU-implementatiecontroles waar beschikbaar. Status: DPA, instellingen voor logbewaring en overdrachtswaarborgen vereist vóór inschakeling in productie.
5. 3.5Railway: Hosting van worker- en media-relay-services voor achtergrondtaken en interviewsessies. Gegevens: Wachtrij-payloads, worker-logs, metadata van media-relay en tijdelijke transportgegevens voor interviews. Regio/overdrachten: EU-regio voor productiediensten. Status: DPA, bewijs van regio en instellingen voor logbewaring vereist vóór inschakeling in productie.
6. 3.6Stripe: Facturatie van abonnementen, facturering, betalingsverwerking en belastinggegevens. Gegevens: Facturatiecontacten van werkgevers, facturatiegebeurtenissen, betalingsidentifiers en metadata van facturen. Regio/overdrachten: Internationaal netwerk voor betalingsverwerking. Status: DPA en toewijzing van rollen voor betalingsgegevens vereist vóór inschakeling in productie.
7. 3.7Cal.com: Planning van interviews en ondersteuning. Gegevens: Contactgegevens van kandidaten/werkgevers, metadata van afspraken en beschikbaarheidsvoorkeuren. Regio/overdrachten: Door de provider gehoste planningsinfrastructuur. Status: DPA en beoordeling van minimalisatie van agendagegevens vereist vóór inschakeling in productie.
8. 3.8Resend: Levering van transactionele e-mail. Gegevens: E-mailadressen van ontvangers, berichtsjablonen, afleveringsgebeurtenissen en metadata voor onderdrukking (suppression). Regio/overdrachten: Door de provider gehoste e-mailinfrastructuur. Status: DPA, bewijs van DKIM/SPF/DMARC en instellingen voor bewaring vereist vóór inschakeling in productie.
9. 3.9Meta: Leadformulieren, conversiemeting en acquisitiecampagnes voor werkgevers waar ingeschakeld. Gegevens: Metadata van campagnegebeurtenissen en contactvelden van leads ingediend via Meta-oppervlakken. Regio/overdrachten: Internationale infrastructuur voor advertenties en metingen. Status: Beoordeling van de rol van verantwoordelijke/verwerker en toestemmingsmechanismen vereist vóór inschakeling in productie.
10. 3.10Cloudflare: DNS, edge-beveiliging, bot-bescherming en controles op beschikbaarheid op netwerkniveau. Gegevens: Metadata van HTTP-verzoeken, IP-adressen, beveiligingsgebeurtenissen en DNS-records. Regio/overdrachten: Mondiaal edge-netwerk. Status: DPA, instellingen voor bewaring van beveiligingsgebeurtenissen en overdrachtswaarborgen vereist vóór inschakeling in productie.
11. 3.11Sentry: Foutmonitoring, prestatie-telemetrie en incidentdiagnostiek. Gegevens: Foutsporen, stackframes, metadata van verzoeken en geschoonde gebruikers/sessie-identifiers. Regio/overdrachten: EU-dataresidentie waar geconfigureerd. Status: DPA, schoning van PII en steekproefcontroles vereist vóór inschakeling in productie.

4.Waarborgen

1. 4.1Elke subverwerker is onderworpen aan due diligence en aan contractuele gegevensbeschermingsverplichtingen, inclusief beveiliging, vertrouwelijkheid en, waar relevant, passende overdrachtswaarborgen.
2. 4.2Wanneer een subverwerker overdrachten buiten de EER inhoudt, documenteren wij het overdrachtsmechanisme en de aanvullende maatregelen vóór gebruik in productie.
3. 4.3Referenties van providers zijn uitsluitend server-side, toegang is gebaseerd op het 'least-privilege'-principe en logs zijn zo geconfigureerd dat ze geen interviewinhoud of bijzondere categorieën van gegevens opslaan, tenzij uitdrukkelijk vereist voor ondersteuning of incidentrespons.

5.Wijzigingen

1. 5.1Wij houden deze lijst bij en geven vooraf kennis van de toevoeging of vervanging van een subverwerker, waarbij verantwoordelijken de mogelijkheid krijgen om op redelijke gegevensbeschermingsgronden bezwaar te maken voordat de wijziging van kracht wordt.
2. 5.2Sub-processor questions, objections and privacy requests may be sent to privacy@betihuti.com or info@xciterr.com; security reports may be sent to security@betihuti.com; support requests may be sent to support@betihuti.com.