Privacy-, informatiebeveiligings- & cookiebeleid ECHT

‍

Organisatie: ECHT Onderwijs B.V., handelend onder de naam ECHT

Kvk-nummer: 57146594

‍

Deel A | Privacy statement ECHT

1. Over dit privacy statement

Bij ECHT vinden we jouw privacy belangrijk. Wij gaan vertrouwelijk, zorgvuldig en volgens de geldende privacywetgeving om met persoonsgegevens.

In dit privacy statement leggen we uit hoe ECHT persoonsgegevens verwerkt van:

• kandidaten en deelnemers aan onze programma's en trajecten;
• professionals die bij of via ECHT werken;
• eigen sollicitanten;
• werknemers, stagiaires en freelancers;
• websitebezoekers;
• contactpersonen van klanten, werkgevers, opleidingsinstituten, leveranciers en andere zakelijke relaties.

We leggen uit welke gegevens we verwerken, waarom we dit doen, hoe lang we gegevens bewaren, met welke partijen gegevens kunnen worden gedeeld en welke rechten je hebt.

2. Wie is verantwoordelijk voor jouw persoonsgegevens?

ECHT Onderwijs B.V., handelend onder de naam ECHT, is verantwoordelijk voor de verwerking van jouw persoonsgegevens.

Dit betekent dat ECHT bepaalt welke persoonsgegevens worden verwerkt, voor welke doeleinden, op welke wijze en voor hoe lang, met inachtneming van de geldende privacywetgeving.

In dit document gebruiken we verder de naam ECHT of wij.

3. Welke persoonsgegevens verwerken wij van kandidaten en deelnemers?

Welke persoonsgegevens wij verwerken, hangt af van onze relatie met jou en de diensten, programma's en functionaliteiten waarvan je gebruikmaakt.

Wanneer je je bij ECHT inschrijft, solliciteert of deelneemt aan een programma of traject, kunnen wij onder andere de volgende gegevens verwerken:

• naam, adres en woonplaats;
• geboortedatum;
• geslacht;
• land en/of nationaliteit;
• telefoonnummer en e-mailadres;
• curriculum vitae (cv);
• motivatie en motivatiebrief;
• opleidingen, cursussen en trainingen;
• diploma's en certificaten;
• werkervaring, stages en vrijwilligerswerk;
• talenkennis;
• referenties en getuigschriften;
• beschikbaarheid;
• rijbewijs en bezit van een auto;
• tests, assessments en assessmentresultaten;
• gegevens over kennis, ervaring, competenties en skills;
• skillsprofielen en skillspaspoorten;
• informatie over ontwikkel- en opleidingsbehoeften;
• correspondentie en relevante gespreksverslagen;
• foto of video, wanneer je deze vrijwillig verstrekt;
• opt-in-gegevens, zoals toestemming voor het ontvangen van bepaalde communicatie.

Wij vragen kandidaten om geen BSN op een cv, motivatiebrief of andere documenten voor een reguliere inschrijving of sollicitatie te plaatsen.

4. Skillspaspoorten, skillsmatching, AI en ESCO

ECHT werkt vanuit de combinatie van Mens én Tech. Technologie helpt ons om op een objectieve, consistente en schaalbare manier informatie te verzamelen, te structureren, te analyseren en inzichtelijk te maken. Tegelijkertijd vertelt data nooit het hele verhaal. Daarom combineren we technologische inzichten altijd met menselijke interpretatie, professionele validatie en het ECHTE gesprek.

Om inzichtelijk te maken wat iemand al kan en welke functies, beroepen, ontwikkelroutes of opleidingen daarbij kunnen passen, kunnen wij een skillsprofiel of skillspaspoort opstellen.

Een skillspaspoort kan worden samengesteld op basis van onder andere:

• jouw cv;
• opleidingen en trainingen;
• werkervaring;
• stages en vrijwilligerswerk;
• assessmentresultaten;
• door jou verstrekte aanvullende informatie;
• relevante informatie uit gesprekken met ECHT.

‍

Gebruik van AI

Voor het opstellen, structureren en verrijken van skillsprofielen en skillspaspoorten maakt ECHT gebruik van AI-technologie van een gespecialiseerde softwareleverancier.

Deze technologie kan worden ingezet om:

• informatie uit een cv te analyseren en structureren;
• opleidingen, werkervaring en andere ervaringen te vertalen naar relevante skills;
• een skillsprofiel of skillspaspoort op te stellen, aan te vullen of te actualiseren;
• overeenkomsten tussen aanwezige skills en functies of rollen inzichtelijk te maken;
• mogelijke ontwikkel- en opleidingsrichtingen te identificeren;
• professionals van ECHT te ondersteunen bij matching en begeleiding.

‍

Koppeling met de ESCO-skillstaxonomie

De door de technologie herkende skills worden waar mogelijk gekoppeld aan de ESCO-skillstaxonomie.

ESCO staat voor European Skills, Competences, Qualifications and Occupations. Dit is een Europese classificatie waarin beroepen, kennis, competenties en vaardigheden op een gestandaardiseerde manier worden beschreven en met elkaar in verband worden gebracht.

Door skills waar mogelijk aan deze taxonomie te koppelen, ontstaat een meer eenduidige en gestandaardiseerde beschrijving van wat iemand kan. Dit ondersteunt ECHT bij het opstellen van skillspaspoorten en maakt het mogelijk om skills op een consistente manier te vergelijken met skills die relevant zijn voor functies, beroepen, ontwikkelroutes en opleidingen.

‍

De mens interpreteert en valideert de data

De technologische analyse en de koppeling aan ESCO vormen voor ECHT het vertrekpunt en niet de eindconclusie.

Data kan inzichtelijk maken welke skills uit iemands achtergrond naar voren komen en waar mogelijke matches of ontwikkelrichtingen liggen. Maar data alleen vertelt niet automatisch wat deze informatie in de persoonlijke context van iemand betekent.

Daarom worden de inzichten door onze professionals geïnterpreteerd, getoetst, verdiept en waar nodig aangevuld of gecorrigeerd.

Daarbij combineren we de beschikbare data met:

• empathisch vermogen;
• professionele expertise;
• relevante persoonlijke en professionele context;
• motivatie en ambities;
• ontwikkelmogelijkheden;
• het ECHTE gesprek.

In het persoonlijke gesprek brengen we context aan, toetsen en verdiepen we de inzichten en onderzoeken we samen wat iemand kan, wil en kan ontwikkelen.

Zo ontstaat een completer en genuanceerder beeld dan uitsluitend op basis van een cv, assessment of geautomatiseerde analyse mogelijk is.

Technologie maakt inzichtelijk; de mens interpreteert, verdiept en valideert.

5. Welke gegevens verwerken wij wanneer je bij of via ECHT gaat werken?

Wanneer je bij of via ECHT gaat werken, kunnen wij aanvullend persoonsgegevens verwerken die noodzakelijk zijn voor de arbeidsrelatie, opdracht of administratie.

Het kan onder andere gaan om:

• diploma's en certificaten;
• een kopie van een geldig identiteitsbewijs en BSN, voor zover dit wettelijk noodzakelijk is;
• bankgegevens;
• VOG en andere relevante screeningsuitslagen;
• werk- en verblijfsvergunningen, indien van toepassing;
• arbeids-, opdracht- en opleidingsovereenkomsten;
• arbeids- en salarisafspraken;
• loonstroken, jaaropgaven en loonbelastingverklaringen;
• declaraties en vergoedingen;
• gegevens die noodzakelijk zijn voor personeels-, salaris- en verzuimadministratie;
• relevante correspondentie;
• verslagen van beoordelings- en functioneringsgesprekken.

6. Contactpersonen van zakelijke relaties

ECHT verwerkt persoonsgegevens van contactpersonen bij onder andere klanten, werkgevers, opleidingsinstituten, leveranciers en samenwerkingspartners.

Het kan daarbij onder andere gaan om:

• naam;
• functie;
• organisatie;
• telefoonnummer;
• e-mailadres;
• zakelijke correspondentie;
• afspraken en informatie die noodzakelijk is voor de samenwerking.

Deze gegevens worden gebruikt voor onze dienstverlening, samenwerking en het onderhouden van zakelijke relaties.

7. Websitebezoekers

Wanneer je onze website bezoekt of daarvan functionaliteiten gebruikt, kunnen wij onder andere verwerken:

• gebruikers-ID en andere unieke identifiers;
• IP-adres;
• geschatte locatie op basis van IP-adres;
• internetbrowser;
• type apparaat;
• websitegedrag, zoals clicks, pageviews en zoekopdrachten;
• inschrijvingen en sollicitaties;
• ingestelde e-mailalerts;
• feedback of informatie die via formulieren, polls, surveys of chatfuncties wordt verstrekt.

Deze gegevens gebruiken wij om onze website en dienstverlening aan te bieden, te beveiligen, te analyseren en te verbeteren.

Meer informatie over cookies vind je verderop in dit document.

8. Eigen sollicitanten, werknemers, stagiaires en freelancers

Wanneer je bij ECHT solliciteert, kunnen wij onder andere je contactgegevens, cv, motivatie, opleidingen, werkervaring, referenties, diploma's, beschikbaarheid, assessmentresultaten, relevante screeningsuitslagen en correspondentie verwerken.

Wanneer je bij ECHT gaat werken, verwerken wij daarnaast de persoonsgegevens die noodzakelijk zijn om onze verplichtingen als werkgever of opdrachtgever uit te voeren.

9. Waarom verwerken wij persoonsgegevens?

ECHT kan persoonsgegevens onder andere verwerken om:

• inschrijvingen en sollicitaties te behandelen;
• geschiktheid voor een functie, opdracht of traject te beoordelen;
• kandidaten en werkgevers bij elkaar te brengen;
• kandidaten te begeleiden naar passend werk;
• kennis, ervaring, competenties en skills inzichtelijk te maken;
• skillsprofielen en skillspaspoorten op te stellen en te actualiseren;
• skills waar mogelijk te koppelen aan een gestandaardiseerde skillstaxonomie;
• AI te gebruiken ter ondersteuning van skillsanalyse en matching;
• functies, werkgevers, opleidingen en ontwikkelmogelijkheden te identificeren;
• persoonlijke en professionele ontwikkeling te ondersteunen;
• trainingen, opleidingen, assessments en begeleiding aan te bieden;
• overeenkomsten aan te gaan en uit te voeren;
• personeels-, salaris-, financiële en verzuimadministratie uit te voeren;
• zakelijke relaties te onderhouden;
• onze website en dienstverlening te beheren en verbeteren;
• aan wettelijke verplichtingen te voldoen.

10. Op welke grondslag verwerken wij persoonsgegevens?

ECHT verwerkt persoonsgegevens alleen wanneer daarvoor een geldige juridische grondslag bestaat.

Afhankelijk van de verwerking kan dat zijn:

Toestemming
Wanneer toestemming vereist is, vragen wij deze vooraf. Je kunt jouw toestemming op ieder moment intrekken.

Uitvoering van een overeenkomst
De verwerking is noodzakelijk om een overeenkomst met jou voor te bereiden of uit te voeren.

Wettelijke verplichting
ECHT moet bepaalde persoonsgegevens verwerken of bewaren om aan wettelijke verplichtingen te voldoen.

Gerechtvaardigd belang
In bepaalde situaties heeft ECHT een gerechtvaardigd belang bij de verwerking. Wij wegen dit belang af tegen jouw privacybelangen.

Wanneer toestemming de grondslag voor een verwerking is, heeft het intrekken daarvan geen gevolgen voor de rechtmatigheid van de verwerking die vóór de intrekking heeft plaatsgevonden.

11. AI, profilering en menselijke interpretatie

Door professionele kenmerken en skills met behulp van technologie te analyseren en te vergelijken, kan in bepaalde gevallen sprake zijn van profilering in de zin van de AVG.

ECHT gebruikt AI en andere digitale technologie om haar professionals te ondersteunen bij:

• skillsanalyse;
• het opstellen van skillspaspoorten;
• het vergelijken van skills met functies en rollen;
• matching;
• het inzichtelijk maken van ontwikkelmogelijkheden.

Onze werkwijze is gebaseerd op Mens én Tech.

Tech ondersteunt ons bij het verzamelen, structureren, analyseren en inzichtelijk maken van informatie. Hierdoor kunnen wij informatie op een consistente en schaalbare manier verwerken en relevante verbanden zichtbaar maken.

Mens zorgt voor interpretatie, context en professionele validatie. Onze professionals beoordelen wat de data daadwerkelijk betekent voor de persoon, toetsen de uitkomsten in het persoonlijke gesprek en kunnen informatie aanvullen of corrigeren.

Een professional van ECHT kan bijvoorbeeld:

• gebruikte gegevens controleren;
• herkende en gekoppelde skills beoordelen;
• aanvullende context meenemen;
• AI-uitkomsten interpreteren en valideren;
• skills aanvullen of corrigeren;
• motivatie en ambities bespreken;
• ontwikkelbaarheid en ontwikkelrichtingen onderzoeken;
• samen met de kandidaat onderzoeken wat iemand kan, wil en kan ontwikkelen;
• de technologische inzichten meenemen in een bredere professionele beoordeling.

De uitkomst van een AI-analyse of skillsmatch wordt daarom niet zonder meer als vaststaand beschouwd.

Het systeem neemt geen enkele beslissing over jou. AI leidt vaardigheden af en doet de schaalbare matching, maar elke beslissing over jouw geschiktheid voor een functie, deelname aan een traject of plaatsing bij een werkgever wordt door een mens genomen.

ECHT gebruikt deze technologie niet om zonder betekenisvolle menselijke tussenkomst besluiten te nemen die juridische gevolgen voor jou hebben of jou anderszins in aanzienlijke mate treffen, tenzij dit wettelijk is toegestaan en aan de daarvoor geldende voorwaarden is voldaan.

12. Met welke derde partijen delen wij persoonsgegevens?

ECHT deelt persoonsgegevens alleen wanneer dit noodzakelijk is voor onze dienstverlening, hiervoor een geldige grondslag bestaat of wij wettelijk verplicht zijn gegevens te verstrekken.

Afhankelijk van de situatie kunnen persoonsgegevens worden gedeeld met:

• potentiële en daadwerkelijke werkgevers of opdrachtgevers;
• opleidingsinstituten, opleiders en trainers;
• assessmentpartners;
• technologie- en softwareleveranciers;
• leveranciers die ons ondersteunen bij skillsprofielen, skillspaspoorten en skillsmatching;
• salaris- en administratiedienstverleners;
• arbodiensten;
• overheidsinstanties wanneer wij wettelijk verplicht zijn informatie te verstrekken;
• andere zakelijke dienstverleners die noodzakelijk zijn voor onze bedrijfsvoering.

AI-softwareleveranciers

Voor het opstellen en verrijken van skillspaspoorten en het ondersteunen van skillsmatching maakt ECHT gebruik van een gespecialiseerde AI-softwareleverancier.

Deze leverancier kan namens ECHT persoonsgegevens verwerken die noodzakelijk zijn om informatie over onder andere opleidingen, werkervaring, kennis, competenties en skills te analyseren en structureren.

Met leveranciers die in opdracht van ECHT persoonsgegevens verwerken, maken wij passende afspraken over onder andere:

• het doel waarvoor persoonsgegevens mogen worden verwerkt;
• vertrouwelijkheid en geheimhouding;
• technische en organisatorische beveiligingsmaatregelen;
• toegang tot persoonsgegevens;
• bewaartermijnen;
• verwijdering of anonimisering van gegevens;
• inzet van eventuele subverwerkers;
• het melden en afhandelen van beveiligingsincidenten en datalekken;
• ondersteuning bij het uitoefenen van privacyrechten.

Waar de AVG dit vereist, leggen wij deze afspraken vast in een verwerkersovereenkomst.

13. Verwerking buiten de Europese Economische Ruimte

Wanneer persoonsgegevens buiten de Europese Economische Ruimte (EER) worden verwerkt, zorgt ECHT ervoor dat hiervoor een geldige juridische basis bestaat en passende waarborgen worden toegepast overeenkomstig de geldende privacywetgeving.

Dit kan bijvoorbeeld plaatsvinden op basis van een adequaatheidsbesluit of passende contractuele waarborgen.

14. Hoe lang bewaren wij persoonsgegevens?

ECHT bewaart persoonsgegevens niet langer dan noodzakelijk voor het doel waarvoor deze zijn verzameld. Daarnaast houden wij rekening met toepasselijke wettelijke bewaarplichten.

Kandidaten en sollicitanten

Wanneer een sollicitatie- of bemiddelingsprocedure is afgerond, verwijderen wij de persoonsgegevens die specifiek voor deze procedure zijn verzameld in beginsel binnen vier weken, tenzij er een andere geldige grondslag bestaat om deze langer te bewaren.

Wanneer je ECHT expliciet toestemming geeft om jouw gegevens te bewaren voor toekomstige vacatures, opdrachten, matching of trajecten, bewaren wij deze kandidaatgegevens maximaal één jaar na afronding van de procedure.

Je kunt deze toestemming op ieder moment intrekken. Wanneer je jouw toestemming intrekt, verwijderen wij de betreffende persoonsgegevens, tenzij wij deze op basis van een andere grondslag of wettelijke verplichting nog moeten bewaren.

Deze bewaartermijnen gelden ook voor persoonsgegevens die onderdeel uitmaken van een skillsprofiel of skillspaspoort, voor zover deze tot jou als persoon te herleiden zijn. Het skillspaspoort zelf is jouw eigendom: je houdt het als je van rol of van werkgever verandert.

Gegevens bij onze softwareleveranciers

Wanneer persoonsgegevens namens ECHT door een softwareleverancier worden verwerkt, maken wij afspraken over het bewaren en verwijderen van deze gegevens.

Persoonsgegevens worden na afloop van de overeengekomen bewaartermijn of dienstverlening verwijderd of geanonimiseerd, voor zover er geen andere wettelijke of gerechtvaardigde reden bestaat om deze gegevens langer te bewaren.

Medewerkers

Voor medewerkers gelden voor bepaalde personeels-, salaris- en administratieve gegevens wettelijke bewaartermijnen. ECHT bewaart deze gegevens zolang de toepasselijke wet- en regelgeving dit vereist.

Na afloop van de toepasselijke bewaartermijn worden persoonsgegevens verwijderd of zodanig geanonimiseerd dat deze niet meer tot een persoon te herleiden zijn.

15. Hoe beveiligen wij persoonsgegevens?

ECHT neemt passende technische en organisatorische maatregelen om persoonsgegevens te beschermen tegen verlies, onbevoegde toegang, ongeoorloofde wijziging, openbaarmaking en ander onrechtmatig gebruik.

Wij doen dit onder andere door:

• toegang tot persoonsgegevens te beperken;
• gebruik te maken van beveiligde accounts;
• passend toegangs- en autorisatiebeheer toe te passen;
• veilige communicatiekanalen en systeem- en netwerkbeveiliging te gebruiken;
• afspraken te maken met leveranciers over beveiliging en vertrouwelijkheid;
• bewaartermijnen te hanteren;
• beveiligingsincidenten en mogelijke datalekken volgens vastgestelde procedures af te handelen.

De uitgangspunten voor informatiebeveiliging zijn verder uitgewerkt in Deel B | Informatiebeveiligingsbeleid ECHT.

16. Welke privacyrechten heb je?

Afhankelijk van de situatie heb je het recht om:

• jouw persoonsgegevens in te zien;
• onjuiste of onvolledige gegevens te laten corrigeren;
• persoonsgegevens te laten verwijderen;
• de verwerking te laten beperken;
• bezwaar te maken tegen bepaalde verwerkingen;
• jouw gegevens te laten overdragen wanneer het recht op dataportabiliteit van toepassing is;
• eerder gegeven toestemming in te trekken.

Wanneer persoonsgegevens worden gebruikt voor een skillspaspoort, skillsprofiel of AI-ondersteunde analyse, kun je ons ook vragen om onjuiste persoonsgegevens of onjuist gekoppelde informatie te corrigeren.

Niet ieder recht is in iedere situatie absoluut. ECHT kan bijvoorbeeld wettelijk verplicht zijn bepaalde gegevens te bewaren.

17. Hoe kun je jouw gegevens inzien of wijzigen?

Afhankelijk van jouw relatie met ECHT kun je bepaalde gegevens zelf inzien of wijzigen via de systemen waarvan je gebruikmaakt.

Voor eigen werknemers, stagiaires en freelancers maakt ECHT onder andere gebruik van Buddee voor personeelsregistratie. 

Kun je niet meer inloggen of wil je gegevens laten inzien, corrigeren of verwijderen? Neem dan contact met ons op via info@echtonderwijs.nl.

18. Klachten

Heb je vragen of klachten over de manier waarop ECHT jouw persoonsgegevens verwerkt? Neem dan eerst contact met ons op.

Wanneer je vindt dat wij niet correct met jouw persoonsgegevens omgaan, heb je daarnaast het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.

19. Contact

ECHT
ECHT Onderwijs B.V.
KvK-nummer: 57146594
Siriusdreef 12, Unit 1B
2132 WT Hoofddorp

Telefoon: 085-0600 104
E-mail: info@echtonderwijs.nl

Deel B | Informatiebeveiligingsbeleid ECHT

1. Doel van het informatiebeveiligingsbeleid

ECHT verwerkt persoonsgegevens en andere vertrouwelijke informatie van kandidaten, medewerkers, klanten, opdrachtgevers en samenwerkingspartners.

Een zorgvuldige omgang met deze informatie is een essentieel onderdeel van onze dienstverlening.

Dit informatiebeveiligingsbeleid beschrijft de organisatorische en technische uitgangspunten die ECHT hanteert om informatie te beschermen.

ECHT richt haar informatiebeveiliging op drie kernprincipes:

Vertrouwelijkheid
Informatie is alleen toegankelijk voor personen en partijen die deze voor hun werkzaamheden nodig hebben.

Integriteit
Informatie moet juist, volledig en betrouwbaar zijn en mag niet ongeoorloofd worden gewijzigd.

Beschikbaarheid
Informatie en systemen moeten beschikbaar zijn wanneer deze voor onze dienstverlening en bedrijfsvoering nodig zijn.

2. Reikwijdte

Dit beleid is van toepassing op onder andere:

• persoonsgegevens;
• kandidaat- en medewerkersgegevens;
• cv's en sollicitatiegegevens;
• assessmentresultaten;
• competentie- en skillsdata;
• skillsprofielen en skillspaspoorten;
• gegevens die met behulp van AI worden verwerkt;
• klant- en relatiegegevens;
• financiële en personeelsgegevens;
• vertrouwelijke bedrijfsinformatie;
• digitale systemen en applicaties waarin deze informatie wordt verwerkt.

Het beleid geldt voor werknemers, freelancers en andere personen die namens ECHT toegang hebben tot deze informatie.

3. Verantwoordelijkheid voor informatiebeveiliging

ECHT is verantwoordelijk voor het organiseren en bewaken van passende informatiebeveiliging binnen de organisatie.

Van medewerkers wordt verwacht dat zij:

• zorgvuldig omgaan met persoonsgegevens en vertrouwelijke informatie;
• alleen informatie raadplegen die zij voor hun werkzaamheden nodig hebben;
• accounts en wachtwoorden veilig gebruiken;
• vertrouwelijke informatie niet ongeoorloofd delen;
• persoonsgegevens alleen via daarvoor bestemde systemen verwerken;
• mogelijke beveiligingsincidenten direct intern melden.

4. Toegangs- en autorisatiebeheer

ECHT hanteert als uitgangspunt dat personen alleen toegang krijgen tot informatie en systemen die zij voor hun werkzaamheden nodig hebben.

Daarbij geldt waar passend:

• accounts zijn persoonsgebonden;
• toegang wordt gekoppeld aan functie en werkzaamheden;
• account- en inloggegevens worden niet gedeeld;
• toegangsrechten worden aangepast wanneer werkzaamheden of verantwoordelijkheden veranderen;
• toegang wordt ingetrokken wanneer iemand uit dienst gaat of niet langer voor ECHT werkt;
• voor relevante systemen worden passende authenticatiemaatregelen toegepast.

5. Beveiliging van systemen en gegevens

ECHT treft passende technische maatregelen om systemen en gegevens te beveiligen.

Afhankelijk van het systeem, de aard van de gegevens en het risico kan dit onder andere bestaan uit:

• authenticatie en toegangsbeveiliging;
• autorisatiebeheer;
• beveiligde netwerkverbindingen;
• versleuteling waar passend;
• actuele software en beveiligingsupdates;
• bescherming tegen malware en andere digitale dreigingen;
• back-up- en herstelvoorzieningen;
• logging en controle van toegang waar dit passend en beschikbaar is.

De concrete maatregelen worden afgestemd op de aard en gevoeligheid van de gegevens en de risico's van de verwerking.

6. Dataminimalisatie

ECHT hanteert het principe van dataminimalisatie.

Wij verwerken niet meer persoonsgegevens dan redelijkerwijs noodzakelijk is voor het doel waarvoor de gegevens worden gebruikt.

Medewerkers worden geacht geen persoonsgegevens op te vragen, vast te leggen of te bewaren wanneer deze niet noodzakelijk zijn voor de dienstverlening, bedrijfsvoering of een wettelijke verplichting.

7. Mens én Tech

De inzet van technologie binnen ECHT is gebaseerd op het principe Mens én Tech.

Technologie helpt ons om op een objectieve, consistente en schaalbare manier informatie te verzamelen, te structureren en inzichtelijk te maken. De technologie kan patronen zichtbaar maken en ondersteunt onze professionals bij het analyseren van skills, functies en ontwikkelmogelijkheden.

ECHT beschouwt technologie echter nooit als vervanging van professionele menselijke beoordeling.

Data alleen vertelt niet het hele verhaal. De betekenis van data ontstaat pas wanneer deze wordt geïnterpreteerd in de juiste persoonlijke en professionele context.

Daarom combineren wij technologische inzichten met:

• menselijke interpretatie;
• empathisch vermogen;
• professionele validatie;
• persoonlijke context;
• het ECHTE gesprek.

Onze professionals toetsen en verdiepen de verkregen inzichten en onderzoeken samen met de kandidaat wat iemand kan, wil en kan ontwikkelen.

Dit betekent dat technologische uitkomsten binnen ECHT worden gebruikt als ondersteunende informatie en niet als volledig of definitief oordeel over een persoon.

8. AI, skillspaspoorten en ESCO

ECHT maakt binnen haar dienstverlening gebruik van gespecialiseerde AI-technologie voor onder andere het analyseren en structureren van professionele informatie en het opstellen en verrijken van skillspaspoorten.

Omdat hierbij persoonsgegevens kunnen worden verwerkt, gelden hiervoor dezelfde privacy- en beveiligingsprincipes als voor andere persoonsgegevens binnen ECHT.

Gestandaardiseerde skillsdata

De door AI herkende skills worden waar mogelijk gekoppeld aan de ESCO-skillstaxonomie (European Skills, Competences, Qualifications and Occupations).

Door gebruik te maken van een gestandaardiseerde taxonomie beoogt ECHT skills op een eenduidige en consistente manier te beschrijven en te gebruiken binnen skillspaspoorten en skillsmatching.

De koppeling aan ESCO ondersteunt de kwaliteit en consistentie van de skillsdata, maar betekent niet dat de verkregen informatie automatisch volledig of juist is.

Menselijke interpretatie en validatie

De resultaten van AI-analyses en ESCO-koppelingen worden waar relevant door professionals van ECHT geïnterpreteerd en gevalideerd.

De inzichten kunnen worden:

• gecontroleerd op juistheid en volledigheid;
• geïnterpreteerd in de context van de kandidaat;
• besproken en getoetst in het persoonlijke gesprek;
• aangevuld of gecorrigeerd;
• gecombineerd met informatie over motivatie, ambities en ontwikkelmogelijkheden.

In het ECHTE gesprek onderzoeken we samen met de kandidaat wat iemand kan, wil en kan ontwikkelen.

Hiermee voorkomen we dat een technologisch gegenereerd profiel zonder nadere menselijke duiding als volledig beeld van een persoon wordt beschouwd.

Uitgangspunten voor AI-verwerking

Bij de inzet van AI ziet ECHT er onder andere op toe dat:

• alleen gegevens worden verwerkt die relevant zijn voor het beoogde doel;
• toegang tot de toepassing wordt beperkt tot bevoegde gebruikers;
• afspraken met de softwareleverancier worden gemaakt over gegevensbescherming en informatiebeveiliging;
• afspraken worden gemaakt over bewaartermijnen en verwijdering;
• afspraken worden gemaakt over eventuele subverwerkers;
• beveiligingsincidenten kunnen worden gemeld en afgehandeld;
• AI-uitkomsten waar relevant door mensen kunnen worden gecontroleerd, geïnterpreteerd en gecorrigeerd;
• kandidaten niet uitsluitend worden beoordeeld op basis van een technologisch gegenereerd skillsprofiel;
• de menselijke professional verantwoordelijk blijft voor de interpretatie en professionele duiding van de verkregen inzichten.

De AI-toepassing is daarmee een ondersteunend instrument binnen de dienstverlening van ECHT en geen vervanging van professionele menselijke beoordeling.

9. Leveranciers en verwerkers

ECHT maakt gebruik van externe leveranciers voor onder andere software, administratie, assessments, communicatie en AI-technologie.

Bij de selectie en inzet van leveranciers houden wij rekening met privacy en informatiebeveiliging.

Wanneer een leverancier namens ECHT persoonsgegevens verwerkt, worden waar nodig contractuele afspraken gemaakt over:

• aard en doel van de verwerking;
• geheimhouding en vertrouwelijkheid;
• passende technische en organisatorische beveiligingsmaatregelen;
• toegang tot persoonsgegevens;
• inzet van subverwerkers;
• bewaartermijnen;
• verwijderen of retourneren van gegevens;
• datalekken en beveiligingsincidenten;
• ondersteuning bij privacyrechten.

ECHT beoordeelt waar passend of leveranciers die persoonsgegevens verwerken nog aansluiten bij de dienstverlening en de bijbehorende risico's.

10. Bewaartermijnen en verwijdering

Persoonsgegevens worden niet langer bewaard dan noodzakelijk.

ECHT hanteert bewaartermijnen die aansluiten bij:

• het doel van de verwerking;
• afspraken met betrokkenen;
• wettelijke verplichtingen;
• contractuele verplichtingen;
• de aard en gevoeligheid van de gegevens.

Voor reguliere kandidaat- en sollicitatiegegevens geldt in beginsel een bewaartermijn van maximaal vier weken na afronding van de procedure.

Met expliciete toestemming kunnen relevante kandidaatgegevens maximaal één jaar worden bewaard voor toekomstige vacatures, opdrachten, matching of trajecten.

Na afloop van de toepasselijke bewaartermijn worden persoonsgegevens verwijderd of geanonimiseerd.

Waar externe verwerkers worden ingezet, maakt ECHT afspraken over verwijdering of anonimisering van gegevens na afloop van de toepasselijke bewaartermijn of dienstverlening.

11. Back-ups en continuïteit

Voor bedrijfskritische systemen en gegevens wordt waar passend gebruikgemaakt van back-up- en herstelvoorzieningen.

Het doel hiervan is de beschikbaarheid en integriteit van informatie te beschermen bij bijvoorbeeld technische storingen, menselijke fouten of beveiligingsincidenten.

Bij de selectie van leveranciers wordt waar relevant tevens rekening gehouden met de beschikbaarheid en continuïteit van de dienstverlening.

12. Vertrouwelijkheid

Werknemers en andere personen die namens ECHT toegang hebben tot vertrouwelijke informatie zijn gehouden aan vertrouwelijkheid.

Persoonsgegevens en andere vertrouwelijke informatie worden niet zonder geldige reden gedeeld met collega's, opdrachtgevers, leveranciers of andere externe partijen.

Vertrouwelijke informatie van klanten en samenwerkingspartners wordt uitsluitend gebruikt voor het doel waarvoor deze aan ECHT is verstrekt.

Waar nodig worden aanvullende geheimhoudingsafspraken of NDA's gesloten.

13. Beveiligingsincidenten en datalekken

Een vermoeden van een beveiligingsincident of datalek moet zo snel mogelijk intern worden gemeld.

ECHT beoordeelt vervolgens:

1. wat er is gebeurd;
2. welke systemen en gegevens betrokken zijn;
3. welke personen mogelijk gevolgen ondervinden;
4. welke directe maatregelen noodzakelijk zijn;
5. of sprake is van een datalek in de zin van de AVG;
6. of een melding aan de Autoriteit Persoonsgegevens noodzakelijk is;
7. of betrokken personen moeten worden geïnformeerd.

Incidenten worden waar passend geregistreerd en geëvalueerd, zodat maatregelen kunnen worden genomen om herhaling te voorkomen.

14. Privacy by design en privacy by default

Bij de ontwikkeling of introductie van nieuwe processen, systemen en diensten houdt ECHT vanaf het begin rekening met privacy en informatiebeveiliging.

Wij kijken daarbij onder andere naar:

• welke persoonsgegevens noodzakelijk zijn;
• voor welk doel deze worden verwerkt;
• wie toegang nodig heeft;
• hoe lang gegevens worden bewaard;
• welke leveranciers worden ingezet;
• welke beveiligings- en privacyrisico's bestaan;
• of aanvullende maatregelen noodzakelijk zijn.

Waar mogelijk worden standaardinstellingen zo ingericht dat niet meer persoonsgegevens worden verwerkt dan noodzakelijk.

15. Nieuwe technologie en AI

Bij de introductie van nieuwe toepassingen van AI of andere technologie beoordeelt ECHT welke persoonsgegevens worden verwerkt en welke risico's daarmee samenhangen.

Wanneer een verwerking waarschijnlijk een hoog privacyrisico oplevert, beoordeelt ECHT of een Data Protection Impact Assessment (DPIA) noodzakelijk is.

Bij AI-toepassingen besteden wij specifiek aandacht aan:

• doel en noodzaak van de verwerking;
• dataminimalisatie;
• kwaliteit en juistheid van de gebruikte gegevens;
• mogelijke fouten of vertekening in uitkomsten;
• transparantie richting betrokkenen;
• menselijke interpretatie en controle;
• informatiebeveiliging;
• bewaartermijnen;
• de rol en verantwoordelijkheden van externe leveranciers.

16. Bewustwording van medewerkers

Informatiebeveiliging is niet alleen een technische verantwoordelijkheid.

Medewerkers die met persoonsgegevens of vertrouwelijke informatie werken, worden geïnformeerd over de binnen ECHT geldende afspraken rondom privacy en informatiebeveiliging.

ECHT stimuleert medewerkers om alert te zijn op onder andere:

• phishing en verdachte berichten;
• veilig gebruik van wachtwoorden en accounts;
• delen van persoonsgegevens;
• verzenden van vertrouwelijke documenten;
• veilig en verantwoord gebruik van AI-toepassingen;
• mogelijke datalekken en beveiligingsincidenten.

17. Fysieke beveiliging en werkplek

Medewerkers gaan ook buiten digitale systemen zorgvuldig om met vertrouwelijke informatie.

Dit betekent onder andere dat:

• vertrouwelijke documenten niet onbeheerd worden achtergelaten;
• schermen en apparaten worden vergrendeld wanneer deze niet worden gebruikt;
• vertrouwelijke gesprekken niet onnodig in openbare omgevingen worden gevoerd;
• apparaten zorgvuldig worden bewaard;
• verlies of diefstal van apparaten die toegang geven tot bedrijfsinformatie direct wordt gemeld.

18. Evaluatie en actualisatie

ECHT evalueert dit informatiebeveiligingsbeleid periodiek en past het aan wanneer daar aanleiding toe is.

Aanleiding kan onder andere zijn:

• wijzigingen in wet- en regelgeving;
• introductie van nieuwe technologie;
• nieuwe leveranciers of systemen;
• wijzigingen in onze dienstverlening;
• beveiligingsincidenten;
• veranderende risico's;
• bevindingen uit interne of externe controles.

19. Toezicht en naleving

Van iedereen die namens ECHT met persoonsgegevens of vertrouwelijke informatie werkt, wordt verwacht dat dit beleid wordt nageleefd.

Wanneer wordt vastgesteld dat maatregelen onvoldoende zijn of afspraken niet worden nageleefd, neemt ECHT passende corrigerende maatregelen.