1. Partene og rollene
Kunden er behandlingsansvarlig og G&H Partners AS, organisasjonsnummer 937 462 980, er databehandler for behandling som skjer etter kundens dokumenterte instruks.
For kandidatkontoer og drift som Rekrytt selv fastsetter formålene med, kan G&H Partners AS være selvstendig behandlingsansvarlig. Denne avtalen endrer ikke denne rollefordelingen.
2. Behandlingens innhold
Formålet er å levere rekrutteringsplattform med stillingsannonser, søknadsbehandling, kandidatoversikt, statuser og meldinger. Behandlingen varer så lenge kundeavtalen løper og i den dokumenterte sletteperioden etterpå.
Registrerte er kandidater, søkere, kundens ansatte og kontaktpersoner. Opplysningene kan omfatte kontaktdata, CV, erfaring, utdanning, kompetanse, jobbønsker, lønnsforventning, søknad, meldinger, vurderingsstatus og tekniske logger.
Kunden skal ikke instruere Rekrytt til å behandle særlige kategorier opplysninger uten særskilt skriftlig avtale og gyldig behandlingsgrunnlag.
3. Instruks og konfidensialitet
Rekrytt behandler bare opplysningene for å levere og sikre tjenesten, følge kundeavtalen og oppfylle lov. Personell med tilgang er underlagt taushetsplikt og får bare nødvendig tilgang.
Dersom en instruks etter vår vurdering strider mot personvernregelverket, varsler vi kunden og stanser den aktuelle behandlingen når det er nødvendig.
4. Sikkerhet
Rekrytt bruker blant annet autentisering, rolle- og radbasert tilgang, private filområder, kryptert transport, logging, sikkerhetskopiering etter leverandørplan og rutiner for sårbarheter og hendelser.
Kunden er ansvarlig for tilgangene til egne brukere, sikker bruk av kontoene og å melde fra når tilganger skal fjernes.
5. Underleverandører og overføring
Kunden gir generell godkjenning til bruk av underdatabehandlere. Aktuelle hovedleverandører er Supabase for database, autentisering og lagring, og Vercel for hosting og applikasjonsdrift.
Rekrytt skal føre oppdatert leverandøroversikt og varsle om vesentlige endringer. Overføring utenfor EØS skal ha gyldig overføringsgrunnlag, normalt standard personvernbestemmelser, og nødvendige tilleggstiltak.
6. Bistand og personvernbrudd
Rekrytt bistår kunden, så langt det er mulig og forholdsmessig, med innsyn, sletting, retting, dataportabilitet, risikovurderinger og kontakt med tilsynsmyndighet.
Bekreftede brudd som berører kundens data varsles uten ugrunnet opphold med tilgjengelig informasjon om hendelsen, berørte data, konsekvenser og tiltak.
7. Kontroll
På rimelig skriftlig forespørsel gjør Rekrytt nødvendig dokumentasjon tilgjengelig. Revisjoner skal avtales på forhånd, begrenses til relevante forhold og gjennomføres uten å svekke andre kunders sikkerhet eller konfidensialitet.
8. Retur og sletting
Ved opphør kan kunden be om eksport innen avtalt frist. Deretter slettes eller anonymiseres kundedata etter Rekrytts dokumenterte sletteregler, med mindre lov krever videre oppbevaring. Data i sikkerhetskopier slettes gjennom leverandørens ordinære rotasjon og beskyttes frem til sletting.
9. Kontakt og rang
Henvendelser om avtalen sendes til support@rekrytt.no. Ved motstrid går denne databehandleravtalen foran øvrige avtalevilkår for spørsmål om behandling av personopplysninger på vegne av kunden.