Voor organisaties
Privacy en veiligheid
Voor privacyfunctionarissen, informatiebeveiligers en inkopers: hoe MaakEenCV met de gegevens van je deelnemers omgaat. Met wat er is, en wat er nog niet is. De volledige stukken sturen we je vóór een gesprek.
Wie is waarvoor verantwoordelijk
Nodigt jullie organisatie deelnemers uit voor een groep, dan is jullie organisatie verwerkingsverantwoordelijke en zijn wij verwerker: voor de groep, de voortgang, de rapportage en de e-learning. Maakt iemand zelf een account, los van een organisatie, dan zijn wij verantwoordelijk. De afspraken leggen we vast in een verwerkersovereenkomst die we vóór de start tekenen. Gemeenten werken met het model van de VNG; dat nemen we als basis als je dat wilt.
Wat een coach wel en niet ziet
- Standaard alleen voortgang: uitgenodigd, account actief, cv gestart, cv gereed, pdf gedownload, brief gemaakt. Plus de naam en het e-mailadres waarmee is uitgenodigd.
- Het cv, de brieven of de bewijsmap alleen als de deelnemer dat zelf aanzet, per soort document en altijd weer uit te zetten. Alleen lezen.
- Die afscherming zit in de database zelf, niet alleen in het scherm: ook via een omweg geeft het systeem een document niet vrij.
- Elke keer dat er gekeken wordt, komt er een regel in een logboek dat de deelnemer ziet.
- Verlaat een deelnemer de organisatie, dan vervalt de inzage vanzelf.
- Van de e-learning ziet de coach welke lessen af zijn en de score op de eindvragen, niet welke antwoorden iemand koos.
- Het gesprek met Raphaël, de AI-hulp, ziet alleen de deelnemer.
Waar de gegevens staan
De database met accounts, cv’s en voortgang staat in de EU, bij Supabase in Frankfurt. Voor een paar functies schakelen we andere partijen in. Voor partijen die (mede) buiten de EER verwerken, gelden de standaardcontractbepalingen van de Europese Commissie. De actuele lijst, met de stand van elke verwerkersovereenkomst, krijg je als bijlage bij de onze. Komt er een partij bij, dan melden we dat vooraf.
| Partij | Waarvoor | Waar |
|---|---|---|
| Supabase | Database, accounts en bestanden | EU (Frankfurt) |
| Vercel | Hosting van de site en de app | EU-regio, met een wereldwijd netwerk |
| Anthropic (Claude) | De AI-schrijfhulp en Raphaël, alleen als de deelnemer die gebruikt; niet om modellen te trainen | Verenigde Staten |
| DocRaptor | Een cv omzetten naar pdf | Verenigde Staten |
| Resend | E-mail versturen, zoals uitnodigingen en herinneringen | Verenigde Staten |
| Cloudflare (Turnstile) | Controle tegen misbruik bij aanmelden en inloggen | Wereldwijd netwerk |
| Umami | Bezoekstatistiek zonder cookies | EU |
Bewaren en verwijderen
- Een deelnemer kan zijn account zelf verwijderen; daarmee verdwijnen zijn cv’s, brieven, bewijsmap en voortgang.
- De voortgang in de e-learning wordt twaalf maanden na het einde van het contract automatisch verwijderd.
- Het gesprek met Raphaël wordt na 90 dagen verwijderd; de deelnemer kan het eerder zelf wissen.
- Sluit je het contract af, dan sluiten wij de organisatieomgeving. De accounts en cv’s van deelnemers blijven van hen.
Beveiliging
Wat er is
- Alle verkeer over HTTPS, met beveiligingsheaders en een Content-Security-Policy op de app.
- Afscherming per rij in de database (row level security): een fout in onze eigen code kan er niet omheen.
- Bestandsopslag is privé en niet op te sommen; een gedeeld bestand gaat alleen via een tijdelijke link.
- Tweestapsverificatie: verplicht voor ons eigen beheer, en per organisatie verplicht te stellen voor alle coaches.
- Dagelijkse back-ups van de database. Het terugzetten is op 23 september 2026 getest, in een aparte omgeving.
- Bescherming tegen geautomatiseerde inlogpogingen, en een security.txt om kwetsbaarheden te melden.
Wat er (nog) niet is
- Geen ISO 27001- of SOC 2-certificering.
- Nog geen onafhankelijke penetratietest. Is dat voor jullie inkoop een voorwaarde, zeg het in het eerste gesprek.
- Geen BIO-certificaat; dat bestaat ook niet. Voor overheidsklanten leveren we een overzicht van de maatregelen, met wat nog openstaat.
- Geüploade bestanden, zoals die in de bewijsmap, zitten nog niet in de dagelijkse back-up.
Een kwetsbaarheid of datalek vermoed? Meld het via support@maakeencv.nl of via security.txt.
AI
- De AI doet voorstellen, geen besluiten. De deelnemer bevestigt zelf wat er in zijn cv komt.
- De app beoordeelt, rangschikt of selecteert geen kandidaten. Dat is onder de Europese AI-verordening een hoog-risicotoepassing, en die bouwen we niet.
- Raphaël is altijd herkenbaar als AI (artikel 50 AI-verordening). Vragen over uitkering, verblijf, contract of gezondheid verwijst hij met een vaste tekst door naar de begeleider.
- Raphaël antwoordt alleen uit onze eigen, nagekeken uitleg. Hij heeft geen toegang tot andere gebruikers en niet tot internet.
- De eindvragen van de e-learning worden nagekeken met een vaste antwoordsleutel, zonder AI. De vertalingen, de stemmen en de tekeningen in de lessen zijn wel met AI gemaakt.
Toegankelijkheid
Er is nog geen onafhankelijke toegankelijkheidsaudit en dus nog geen toegankelijkheidsverklaring. We werken naar WCAG 2.1 op niveau A en AA, en controleren de kernroute (inloggen, cv maken, downloaden) op toetsenbord, contrast, labels, foutmeldingen en zoomen. Wat iemand echt tegenhoudt, lossen we op vóór een pilot. Is een verklaring voor jullie een harde eis, zeg het dan in het eerste gesprek.
Continuïteit
We zijn een klein team, en dat is een reëel risico. Daarom: je kunt de rapportage altijd zelf exporteren, deelnemers kunnen hun cv altijd als pdf downloaden, en zouden wij stoppen, dan krijg je een opzegtermijn en de gelegenheid om alles te exporteren. Dat leggen we vast in de overeenkomst.
Wat je vóór een pilot krijgt
- Een verwerkersovereenkomst met bijlagen: subverwerkers, beveiligingsmaatregelen, bewaartermijnen en de incidentprocedure
- Een beschrijving van welke gegevens we vastleggen en wie ze kan zien
- Een pagina over de AI-hulp voor je begeleiders (AI-geletterdheid, artikel 4 AI-verordening)
- Hulp bij je DPIA
Hoe we met gegevens omgaan als iemand zelf een account maakt, staat in de privacyverklaring.
Past dit bij jullie werkwijze?
Een half uur over hoe jullie nu werken: hoeveel deelnemers, hoeveel coachtijd, wanneer de volgende groep start. Geen demonstratie; we beginnen bij jullie proces.
Eerst de stukken voor je privacyfunctionaris? Zet het in je bericht; dan sturen we verwerkersovereenkomst, subverwerkers, beveiliging en AI vóór het gesprek.