Privacyverklaring

1. Inleiding

CV Score is een dienst van The CodeCave GmbH (“wij”, “ons”, “onze”). In deze privacyverklaring leest u hoe wij persoonsgegevens verwerken wanneer u onze website cvscore.net bezoekt, de webapplicatie op app.cvscore.net gebruikt of daarmee uw cv laat beoordelen (samen “de Dienst”).

Omdat wij in Duitsland zijn gevestigd, gelden voor al onze verwerkingen de Algemene verordening gegevensbescherming (AVG) en de Duitse federale wet gegevensbescherming (BDSG), ongeacht waar u woont. Afhankelijk van uw verblijfplaats kunt u aanvullende rechten hebben op grond van lokaal recht — bijvoorbeeld op grond van de UK GDPR, de California Consumer Privacy Act (CCPA/CPRA), de Braziliaanse LGPD, de Canadese PIPEDA, de Australische Privacy Act, de PDPA van Singapore of de POPIA van Zuid-Afrika. Die komen hieronder in afzonderlijke paragrafen aan bod.

Deze verklaring geldt vanaf de hierboven vermelde datum en beschrijft de Dienst zoals die vandaag werkt. Onze bedrijfsgegevens vindt u daarnaast in ons colofon.

2. Verwerkingsverantwoordelijke

Verwerkingsverantwoordelijke voor de hier beschreven verwerkingen in de zin van artikel 4, punt 7, AVG is:

Omdat de verwerkingsverantwoordelijke binnen de Europese Unie is gevestigd, is een vertegenwoordiger op grond van artikel 27 AVG niet vereist en ook niet aangewezen. Schrijf voor privacyzaken naar privacy@cvscore.net.

3. Welke gegevens wij verwerken

Welke gegevens wij verwerken, hangt af van de manier waarop u de Dienst gebruikt:

Accountgegevens

Voor een beoordeling is een account nodig. Wij verwerken daarbij:

• Uw e-mailadres
• Uw wachtwoord — door onze authenticatiedienst uitsluitend als cryptografische hash opgeslagen, nooit in leesbare tekst
• Of, als u zich met Google aanmeldt: het e-mailadres en de basisprofielgegevens die Google aan ons doorgeeft
• Een interne gebruikersidentificatie (UUID) en de tijdstippen van het aanmaken van het account en van het aanmelden
• Of uw e-mailadres is bevestigd
• Uw toestemmingsstatus voor marketing en, indien van toepassing, het tijdstip en het kanaal van een latere afmelding

Cv-bestanden

Wanneer u een cv ter beoordeling uploadt, verwerken wij:

• Het geüploade PDF-bestand (maximaal 5 MB en 3 pagina's)
• De bestandsnaam, de bestandsgrootte en het aantal pagina's
• Een SHA-256-controlegetal van het bestand, waarmee wij een hernieuwde upload van hetzelfde document herkennen zodat u niet twee keer betaalt
• De door u gekozen rapporttaal en het tijdstip van de upload

Beoordelingsresultaten

Bij elke beoordeling slaan wij op:

• De totaalscore en de scores van de 8 categorieën en hun subcategorieën
• De positieve en negatieve bevindingen per subcategorie, maximaal drie belangrijkste sterke punten en maximaal zeven verbeterpunten, elk aangemerkt als van hoge of gemiddelde impact
• Deze teksten worden door het model zelf geformuleerd; ze kunnen naar de inhoud van uw cv verwijzen en afzonderlijke formuleringen daaruit weergeven
• De gebruikte modelaanduiding, prompt-versie en schemaversie, zodat een resultaat reproduceerbaar blijft
• De verwerkingsstatus, een eventuele foutmelding en of en wanneer het volledige rapport is vrijgeschakeld

Betaalgegevens

Betalingen worden afgehandeld door onze betaaldienstverlener Polar. Aan onze kant slaan wij uitsluitend op:

• Het e-mailadres dat voor de aankoop is gebruikt
• Bedrag, valuta, status, de transactiereferentie van de aanbieder en het gekochte product
• Uw tegoedsaldo en een protocol van elke tegoedmutatie — bijgeschreven bij aankoop, afgeschreven bij het vrijschakelen van een rapport
• Bij accounts met een oud abonnement: het pakket, de status en de lopende periode daarvan
• Of u een eenmalige, in tijd beperkte aanbieding te zien hebt gekregen en of u die hebt gebruikt
• De vastlegging dat een betaalproces is gestart (procesidentificatie, e-mailadres, product), waarmee wij afgebroken aankopen herkennen

Wanneer u een aankoop start, geven wij uw e-mailadres en uw interne accountidentificatie door aan Polar, zodat de betaling aan uw account kan worden gekoppeld. Uw kaartnummer, kaartcontrolegetal of andere betaalgegevens ontvangen of bewaren wij op geen enkel moment. Deze worden, samen met de factuurgegevens die nodig zijn om het juiste belastingtarief te bepalen, door Polar onder eigen verantwoordelijkheid verwerkt. Voor facturen en het beheer van een abonnement verwijzen wij u door naar het klantenportaal van Polar.

Vrijwillige vragenlijst

Na een analyse stellen wij u mogelijk enkele vrijwillige vragen om uw resultaat te kunnen duiden. Antwoorden worden uitsluitend als bandbreedte opgeslagen, nooit als exacte cijfers:

• Het aantal verstuurde sollicitaties en verkregen sollicitatiegesprekken, telkens als bandbreedte
• Uw salarisverwachting als bandbreedte, met inbegrip van de mogelijkheid daarover niets te vermelden
• Of u momenteel tussen twee functies in zit of in dienst bent en wilt wisselen
• Of u van baan wilt veranderen en of u voor feedback benaderd wilt worden

Feedback en ondersteuning

Als u ons vanuit de applicatie feedback of een supportverzoek stuurt, slaan wij op:

• Uw bericht en of u het als feedback dan wel als supportverzoek hebt aangemerkt
• Het e-mailadres van uw account en het tijdstip van verzending

Technische gegevens en gebruiksgegevens

Bij het gebruik van de website of de applicatie wordt automatisch het volgende verwerkt:

• Serverlogs van onze hostingaanbieders, met IP-adres, datum en tijd, de opgevraagde bron, de HTTP-status en de verwijzende pagina
• Browser- en apparaatinformatie die uw browser doorgeeft
• Foutlogboeken van de applicatie, die technische foutmeldingen bevatten en geen cv-inhoud
• Uw IP-adres voor het begrenzen van het aantal aanvragen en het tegengaan van misbruik
• Uw aanmeldtoken, dat in uw browser wordt opgeslagen (zie paragraaf 16)
• Geaggregeerde gegevens van de bereikmeting (zie paragraaf 16)

4. Hoe wij deze gegevens verkrijgen

Rechtstreeks van u: Wanneer u een account aanmaakt, een cv uploadt, de vrijwillige vragenlijst beantwoordt, een rapport koopt of contact met ons opneemt.

Automatisch: Via serverlogs, het technisch noodzakelijke aanmeldtoken en onze eigen bereikmeting wanneer u de Dienst gebruikt.

Van Google: Als u ervoor kiest u met Google aan te melden, ontvangen wij van Google uw e-mailadres en basisprofielgegevens.

Van onze betaaldienstverlener: Polar meldt ons wanneer een betaalproces is gestart en wanneer een betaling is geslaagd, is terugbetaald of wordt betwist, en geeft daarbij het e-mailadres, het bedrag en de transactiereferentie aan ons door.

5. Doeleinden en rechtsgronden

Wij verwerken persoonsgegevens alleen wanneer daarvoor een rechtsgrond op grond van artikel 6, lid 1, AVG bestaat:

Wij gebruiken uw cv NIET voor reclame, niet voor profilering en niet om AI-modellen te trainen, en wij verkopen geen persoonsgegevens.

6. AI-verwerking en geautomatiseerde besluiten

Uw cv wordt volledig geautomatiseerd beoordeeld. In deze paragraaf leest u precies wat er gebeurt, wat onze systemen verlaat en hoe wij dit in het licht van artikel 22 AVG beoordelen.

Zo verloopt de beoordeling

Wanneer u een cv indient:

1. Wij controleren het bestand (PDF, maximaal 5 MB en 3 pagina's) en aan de hand van een controlegetal of u precies dit document al eerder in dezelfde taal hebt laten beoordelen.
2. De tekst wordt op onze eigen server geëxtraheerd. Bevat de PDF geen machineleesbare tekst, dan draait op dezelfde server een tekstherkenning (OCR). Bij geen van beide stappen is een derde betrokken. De PDF zelf wordt in de privéopslagruimte van uw account bewaard.
3. De geëxtraheerde cv-tekst wordt samen met onze beoordelingsinstructie naar de API van OpenAI gestuurd. Het gebruikte model is gpt-4o-mini, met temperatuur 0 en een vaste startwaarde, zodat dezelfde tekst tot een vrijwel gelijk resultaat leidt.
4. Het resultaat wordt bij uw account opgeslagen en aan u getoond. Het volledige rapport wordt zichtbaar zodra het is vrijgeschakeld.

Wat er wordt beoordeeld

Het model beoordeelt het document aan de hand van acht categorieën:

• Contact & koptekst
• Professionele samenvatting
• Werkervaring
• Opleiding & kwalificaties
• Vaardigheden & competenties
• Layout & visueel ontwerp
• Taal & communicatie
• ATS & strategische positionering

Belangrijke beperkingen

• Geen recruitmentinstrument: CV Score is gemaakt voor uw eigen zelfbeoordeling. Het is niet bedoeld voor voorselectie door werkgevers, kandidaatselectie of HR-processen.
• Geen garanties: een hoge score garandeert geen gesprekken of aanbiedingen, en een lage score betekent niet dat u ongekwalificeerd bent.
• Alleen documentkwaliteit: beoordeeld wordt de presentatie van het document, niet uw kwalificaties, uw ervaring of uw geschiktheid voor een functie.
• Geen juridisch of loopbaanadvies: het resultaat is informatief en vormt geen professioneel advies.

Is dit een geautomatiseerd besluit in de zin van artikel 22 AVG?

De beoordeling komt zonder menselijke tussenkomst tot stand. Naar onze inschatting gaat het niettemin niet om een besluit dat rechtsgevolgen voor u heeft of u anderszins in aanmerkelijke mate treft in de zin van artikel 22, lid 1, AVG: u vraagt de analyse zelf aan, het resultaat is adviserend, het wordt uitsluitend aan u getoond, en geen enkele derde — in het bijzonder geen werkgever en geen recruiter — ontvangt het of beslist op basis daarvan iets. Wij geven resultaten niet door aan werkgevers, recruiters of vacatureplatforms. Deze inschatting is de onze; ziet u dat anders, dan kunt u haar via de hieronder genoemde wegen aanvechten.

Menselijke toetsing

Los van de bovenstaande inschatting kennen wij u de waarborgen van artikel 22, lid 3, AVG vrijwillig toe:

• U kunt voor elke beoordeling een toetsing door een mens verlangen, per e-mail aan support@cvscore.net
• U kunt uw eigen standpunt kenbaar maken en het resultaat aanvechten
• Wij beantwoorden dergelijke verzoeken binnen één maand

Training van AI-modellen

Wij gebruiken OpenAI via de zakelijke API. Volgens de API-voorwaarden van OpenAI wordt via de API ingediende inhoud standaard niet gebruikt om de modellen van OpenAI te trainen. Zelf gebruiken wij uw cv, uw resultaten en uw feedback niet om eigen modellen te trainen.

7. Ontvangers van uw gegevens

Wij geven gegevens uitsluitend in de volgende gevallen door:

Verwerkers: Dienstverleners die gegevens strikt volgens onze instructies verwerken en gebonden zijn aan een verwerkersovereenkomst op grond van artikel 28 AVG. Zij staan vermeld in paragraaf 8.

Betaaldienstverlener: Polar handelt de betaling zelf onder eigen verantwoordelijkheid af en meldt ons alleen de uitkomst terug.

Wettelijke verplichtingen: Wij verstrekken gegevens voor zover wij daartoe wettelijk verplicht zijn, bijvoorbeeld aan rechtbanken of overheidsinstanties die binnen hun bevoegdheden handelen.

Bedrijfsoverdracht: Als onze onderneming of delen daarvan worden overgedragen, kunnen gegevens overgaan op de verkrijger. Over een dergelijke wijziging zouden wij u vooraf informeren.

Wij verkopen uw persoonsgegevens niet. Wij verhuren ze niet, drijven er geen handel in en stellen ze niet aan derden ter beschikking voor hun eigen reclamedoeleinden.

8. Verwerkers

Voor de exploitatie van CV Score maken wij gebruik van de volgende dienstverleners:

Bijzonderheden over elke aanbieder, over de route van uw gegevens en over de waarborgen waarop wij ons baseren, vindt u in onze Lijst van verwerkers.

Als wij een verwerker toevoegen of vervangen, werken wij deze verklaring en de lijst van verwerkers bij. Onze bereikmeting draait op onze eigen infrastructuur en staat daarom niet in deze lijst — zie paragraaf 16.

9. Doorgifte naar derde landen

Een deel van onze verwerkers is gevestigd in de Verenigde Staten of maakt deel uit van een Amerikaans concern. Voor zover dat het geval is, worden persoonsgegevens doorgegeven naar een land buiten de Europese Economische Ruimte waarvoor de Europese Commissie geen gelijkwaardig beschermingsniveau heeft vastgesteld.

Waarborgen

Voor deze doorgiften baseren wij ons op de volgende waarborgen:

• Modelcontractbepalingen: de door de Europese Commissie op grond van artikel 46, lid 2, onder c), AVG vastgestelde bepalingen, die in het kader van de verwerkersovereenkomsten met onze aanbieders zijn overeengekomen.
• EU-US Data Privacy Framework: voor zover een aanbieder onder dit kader gecertificeerd is, geldt daarnaast artikel 45 AVG, op basis van het adequaatheidsbesluit van de Europese Commissie van 10 juli 2023.
• Aanvullende maatregelen: versleutelde overdracht, tot het noodzakelijke beperkte toegang en dataminimalisatie — in het bijzonder geven wij geen accountidentificaties en geen betaalgegevens door aan onze AI-aanbieder.

Welke gegevens waarheen gaan

De tekst van uw cv wordt doorgegeven aan OpenAI in de VS. Accountgegevens, cv-bestanden en resultaten liggen bij Supabase, een Amerikaans bedrijf. Betalingen lopen via Polar, e-mails via Resend, beide Amerikaanse bedrijven. Onze API-backend draait op servers van Google Cloud in Frankfurt, Duitsland, maar Google is een concern met hoofdzetel in de VS. Daarnaast laadt de applicatie op app.cvscore.net haar lettertype van Google Fonts; uw browser benadert daarbij rechtstreeks servers van Google LLC en geeft daaraan uw IP-adres door. De pagina's op cvscore.net gebruiken lettertypen die wij zelf hosten. Ondanks de bovengenoemde waarborgen blijft een restrisico bestaan dat autoriteiten in een derde land op grond van het daar geldende recht toegang tot gegevens verlangen; uitsluiten kunnen wij dat niet.

10. Bewaartermijnen

Wij bewaren gegevens zo lang als nodig is voor het doel waarvoor ze zijn verzameld, of zo lang als wij daartoe wettelijk verplicht zijn. Een automatische verwijdering na een vaste termijn is er niet — u bepaalt wanneer uw beoordelingen verdwijnen:

U kunt elke afzonderlijke beoordeling en uw volledige account op elk moment zelf in de applicatie verwijderen. Bij het verwijderen van een beoordeling wordt de registratie daarvan uit de database verwijderd en wordt de verwijdering van het bijbehorende PDF-bestand uit de opslag aangevraagd. Bij het verwijderen van uw account worden uw account bij onze authenticatiedienst en de daaraan gekoppelde registraties verwijderd — beoordelingen, resultaten, antwoorden op de vragenlijst, feedback, tegoedsaldo en tegoedmutaties, abonnementsgegevens, vastleggingen van betaalprocessen, het e-mailprotocol en uw toestemmingsstatus. Betaalvastleggingen blijven, zonder de koppeling met uw account, bewaard zolang de hierboven genoemde bewaartermijnen dat vereisen. In back-ups kunnen kopieën nog korte tijd blijven bestaan totdat die back-ups in het normale verloop worden vervangen. Wilt u een verwijdering bevestigd krijgen, schrijf dan naar privacy@cvscore.net.

11. Uw rechten

Met betrekking tot de persoonsgegevens die wij over u verwerken, hebt u de volgende rechten:

• Inzage (artikel 15 AVG): Bevestiging verlangen of wij gegevens over u verwerken, en een kopie van die gegevens ontvangen
• Rectificatie (artikel 16 AVG): Onjuiste gegevens laten corrigeren en onvolledige gegevens laten aanvullen
• Gegevenswissing (artikel 17 AVG): Verwijdering van uw gegevens verlangen wanneer een van de in de AVG genoemde gronden van toepassing is
• Beperking (artikel 18 AVG): In plaats van verwijdering de beperking van de verwerking verlangen
• Overdraagbaarheid van gegevens (artikel 20 AVG): De door u verstrekte gegevens ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat
• Bezwaar (artikel 21 AVG): Om redenen die verband houden met uw specifieke situatie te allen tijde bezwaar maken tegen verwerking op basis van onze gerechtvaardigde belangen
• Intrekking van toestemming (artikel 7, lid 3, AVG): Een gegeven toestemming te allen tijde intrekken met werking voor de toekomst — ook uw toestemming voor marketing-e-mails, via de afmeldlink in elke dergelijke e-mail of via uw accountinstellingen

Beoordelingen en uw volledige account kunt u op elk moment zelf in de applicatie verwijderen. Schrijf voor al het overige naar privacy@cvscore.net. Wij antwoorden binnen één maand; bij een complex verzoek kan die termijn met maximaal twee maanden worden verlengd, waarover wij u dan informeren.

12. Klachten en toezichthoudende autoriteit

Als u van mening bent dat wij uw gegevens onrechtmatig verwerken, kunt u een klacht indienen bij een toezichthoudende autoriteit — onverminderd andere rechtsmiddelen.

• Voor ons bevoegde autoriteit: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, Duitsland
• Uw plaatselijke autoriteit: U kunt ook een klacht indienen bij de toezichthoudende autoriteit van uw gewone verblijfplaats of werkplek
• Recht op uitleg: U kunt ons vragen de logica achter de geautomatiseerde beoordeling toe te lichten (zie paragraaf 6)
• Beroep bij de rechter: Uw recht op een doeltreffende voorziening in rechte op grond van artikel 79 AVG blijft onverlet

De voor ons bevoegde autoriteit is de Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (de toezichthouder voor gegevensbescherming van de deelstaat Noordrijn-Westfalen), omdat onze statutaire zetel in Frechen in Noordrijn-Westfalen ligt.

Verzoeken op grond van de AVG beantwoorden wij binnen één maand. Die termijn kan indien nodig met twee maanden worden verlengd, rekening houdend met de complexiteit en het aantal verzoeken; over een verlenging informeren wij u.

13. Privacyrechten in Californië (CCPA/CPRA)

Als u inwoner van Californië bent, hebt u specifieke rechten op grond van de California Consumer Privacy Act, zoals gewijzigd door de California Privacy Rights Act:

Categorieën persoonlijke informatie

In de afgelopen 12 maanden hebben wij de volgende categorieën verzameld:

• Identificatoren: e-mailadres, IP-adres, accountidentificatie
• Beroepsgerelateerde informatie: de inhoud van uw cv
• Commerciële informatie: aankopen en betaalvastleggingen
• Internetactiviteit: geaggregeerd gebruik van onze pagina's en van de applicatie

Uw rechten in Californië

• Recht op kennisname: Openbaarmaking verlangen van de categorieën en van de concrete persoonlijke informatie die wij hebben verzameld
• Recht op verwijdering: Verwijdering van uw persoonlijke informatie verlangen, behoudens wettelijke uitzonderingen
• Recht op correctie: Correctie van onjuiste persoonlijke informatie verlangen
• Recht van bezwaar tegen verkoop: Bezwaar maken tegen de verkoop of het delen van persoonlijke informatie — wij verkopen en delen deze niet
• Recht op beperking van gebruik van gevoelige informatie: Het gebruik van gevoelige persoonlijke informatie beperken — wij gebruiken deze uitsluitend om de Dienst te leveren
• Recht op non-discriminatie: Niet anders te worden behandeld omdat u uw privacyrechten uitoefent

Geautomatiseerde besluitvormingstechnologie (ADMT)

Onze beoordeling komt tot stand door geautomatiseerde verwerking. Daarom geldt:

• U hebt recht op informatie over de werking van de beoordeling (zie paragraaf 6)
• U kunt voor elke beoordeling een toetsing door een mens verlangen
• U kunt geautomatiseerde verwerking volledig vermijden door geen cv in te dienen

Ter bescherming van uw gegevens moeten wij mogelijk uw identiteit vaststellen voordat wij een verzoek beantwoorden. Daarvoor gebruiken wij het e-mailadres dat aan uw account is gekoppeld.

Schrijf voor de uitoefening van uw Californische rechten naar privacy@cvscore.net met “CCPA Request” in het onderwerp. Wij antwoorden binnen 45 dagen.

U kunt een gemachtigde aanwijzen om namens u een verzoek in te dienen. Wij kunnen om een bewijs van die machtiging vragen.

14. Privacyrechten in het Verenigd Koninkrijk (UK GDPR)

Als u zich in het Verenigd Koninkrijk bevindt, hebt u rechten op grond van de UK General Data Protection Regulation en de Data Protection Act 2018:

Uw rechten komen grotendeels overeen met die uit de EU-AVG in de paragrafen 11 en 12: inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar en de waarborgen rond geautomatiseerde besluiten.

U kunt een klacht indienen bij het Information Commissioner's Office (ICO) via ico.org.uk. Houd er rekening mee dat wij in Duitsland zijn gevestigd, zodat de voor ons bevoegde toezichthoudende autoriteit de in paragraaf 12 genoemde autoriteit is.

Let op: de UK Data (Use and Access) Act 2025 heeft delen van het Britse gegevensbeschermingsrecht gewijzigd. Wij werken deze verklaring bij zodra de bijbehorende uitvoeringsrichtsnoeren zijn gepubliceerd.

15. Andere rechtsstelsels

Schrijf voor verzoeken op grond van een van deze wetten naar privacy@cvscore.net en vermeld daarbij waar u zich bevindt.

16. Cookies, lokale opslag en bereikmeting

Wat op uw apparaat wordt opgeslagen, beperken wij tot het minimum dat de Dienst nodig heeft om te werken:

Technisch noodzakelijke opslag

• Aanmeldtoken (sb-…-auth-token): zodra u zich hebt aangemeld, wordt uw sessietoken in de lokale opslag van uw browser bewaard, zodat u tussen paginaweergaven aangemeld blijft. Zonder dit token is de applicatie niet te gebruiken. Rechtsgrond: § 25 lid 2 TDDDG, omdat deze opslag strikt noodzakelijk is om de door u gevraagde dienst te leveren.

Bereikmeting met Rybbit

Om een globaal beeld te krijgen van het gebruik van onze pagina's en van de applicatie, gebruiken wij Rybbit. De software draait op een server die wij zelf beheren; er worden geen gegevens aan derden doorgegeven en het is geen advertentienetwerk. Rybbit plaatst geen cookies, maar bewaart wel één willekeurig gegenereerde identificatie in de lokale opslag van uw browser, waarmee wij binnen dezelfde browser terugkerende van nieuwe bezoeken kunnen onderscheiden. Vastgelegd worden de bekeken pagina's, de verwijzende pagina, de globale regio, het apparaat- en browsertype en afzonderlijke interacties — in de applicatie ook gebeurtenissen zoals een voltooide upload of een vrijgeschakeld rapport, in sommige gevallen samen met technische waarden zoals de identificatie van een beoordeling of een score. Uw naam en uw e-mailadres worden daarbij nooit doorgegeven. U kunt de identificatie op elk moment verwijderen of blokkeren; hoe dat werkt, staat in ons cookiebeleid. Rechtsgrond: artikel 6, lid 1, onder f), AVG, ons gerechtvaardigd belang bij dataminimaliserende statistieken.

Wat wij niet gebruiken

• Geen reclamecookies, geen retargeting, geen advertentienetwerken
• Geen analysediensten van derden zoals Google Analytics
• Geen socialemediaplug-ins en geen trackingpixels
• Geen sessieopnames en geen muisregistratie
• Geen website-overstijgende registratie van uw gedrag

Opslag door derden

Als u zich met Google aanmeldt, kan Google op zijn eigen domeinen gegevens opslaan. Als u een aankoop doet, kan Polar hetzelfde doen op zijn betaalpagina's; voor facturen en het beheer van een abonnement verwijzen wij u eveneens door naar Polar. De applicatie op app.cvscore.net laadt bovendien haar lettertype van Google Fonts; uw browser benadert daarbij servers van Google LLC en geeft daaraan uw IP-adres door. De pagina's op cvscore.net gebruiken lettertypen die wij zelf hosten. Gebruikt u de deelknop, dan bevat de gegenereerde link niets anders dan uw scorewaarde, en gelden op het platform waarop u die publiceert de regels van dat platform. Voor al deze processen gelden de privacyverklaringen van de betrokken aanbieders, niet die van ons.

Lokaal opgeslagen gegevens kunt u op elk moment via de instellingen van uw browser verwijderen. Verwijdert u het aanmeldtoken, dan wordt u afgemeld en moet u zich opnieuw aanmelden.

Meer bijzonderheden vindt u in ons Cookiebeleid.

17. Beveiliging

Wij treffen passende technische en organisatorische maatregelen om uw gegevens te beschermen:

• Al het verkeer tussen uw browser, onze website, de applicatie en onze API wordt tijdens de overdracht versleuteld (HTTPS/TLS)
• Geüploade cv-bestanden liggen in een privéopslagruimte die per gebruiker gescheiden is; ze zijn niet openbaar toegankelijk
• Beoordelingen en resultaten zijn uitsluitend via onze geauthenticeerde API op te vragen; directe databasetoegang is op rijniveau beperkt
• Elk eindpunt dat persoonsgegevens verwerkt, vereist een geldig aanmeldtoken; aanvragen zonder zo'n token worden geweigerd
• Wachtwoorden worden uitsluitend als cryptografische hashes opgeslagen; aanmelden met Google is als alternatief beschikbaar
• Begrenzing van het aantal aanvragen bij uploads, bij het verwijderen van een account en bij andere gevoelige eindpunten, om geautomatiseerd misbruik duur te maken
• De API mag alleen vanaf onze eigen domeinen worden aangeroepen (CORS-toelatingslijst)
• Uploads worden vóór de verwerking beperkt op bestandstype, grootte en aantal pagina's
• Meldingen van onze betaaldienstverlener accepteren wij uitsluitend met een geldige cryptografische handtekening
• Afmeldlinks in onze e-mails zijn cryptografisch ondertekend, zodat niemand een ander adres kan afmelden
• Toegangsgegevens worden als omgevingsvariabelen aan de uitvoeringsomgeving meegegeven en maken geen deel uit van onze broncode

Geen enkele overdracht via internet en geen enkele vorm van opslag is volledig veilig. Absolute veiligheid kunnen wij daarom niet garanderen.

Als u een beveiligingslek vindt, meld het dan bij ons via security@cvscore.net voordat u het openbaar maakt.

18. Minderjarigen

De Dienst is niet bedoeld voor personen jonger dan 16 jaar. Wij verzamelen niet bewust gegevens van kinderen onder de 16 jaar.

Komen wij te weten dat wij gegevens van een kind onder de 16 jaar hebben ontvangen, dan verwijderen wij deze onverwijld. Vermoedt u dat dit is gebeurd, neem dan contact op via privacy@cvscore.net.

19. Datalekken

In geval van een inbreuk in verband met persoonsgegevens geldt:

• Wij melden de inbreuk binnen 72 uur nadat wij daarvan kennis hebben genomen aan de bevoegde toezichthoudende autoriteit, tenzij het onwaarschijnlijk is dat de inbreuk een risico oplevert voor uw rechten en vrijheden (artikel 33 AVG)
• Wij informeren betrokkenen onverwijld wanneer de inbreuk waarschijnlijk een hoog risico oplevert voor hun rechten en vrijheden (artikel 34 AVG)
• Wij documenteren elke inbreuk, de gevolgen daarvan en de getroffen maatregelen
• Wij houden procedures aan om incidenten op te sporen, te onderzoeken en te verhelpen

Vermoedt u dat uw gegevens getroffen kunnen zijn, neem dan onmiddellijk contact met ons op via security@cvscore.net.

20. Wijzigingen in deze verklaring

Wij werken deze verklaring bij wanneer onze verwerkingen veranderen. Over wezenlijke wijzigingen informeren wij u:

• Door de bijgewerkte versie met een nieuwe datum op deze pagina te publiceren
• Per e-mail aan geregistreerde gebruikers, wanneer de wijziging ingrijpend is
• Door een melding binnen de Dienst te tonen

Wij raden u aan deze pagina van tijd tot tijd opnieuw te lezen. Bepalend is steeds de hier gepubliceerde versie.

Raakt een wijziging uw rechten of de manier waarop wij uw gegevens gebruiken wezenlijk, dan kondigen wij die ten minste 30 dagen vóór inwerkingtreding aan.

21. Contact

Voor vragen, verzoeken of klachten over gegevensbescherming kunt u contact met ons opnemen:

Wij streven ernaar algemene vragen binnen vijf werkdagen te beantwoorden en verzoeken op grond van de AVG binnen één maand af te handelen.