Waarom een opslagregio nog geen gegevenskaart is
Sollicitatiegegevens kunnen door meer systemen gaan dan de recruitmentinterface laat zien. Een cv kan terechtkomen in de primaire opslag, bij een extractiedienst en een modelleverancier, in wachtrijen, logs, foutdiagnostiek en supporttools, en in back-ups en exports. Een leverancier kan dus correct antwoorden op “Waar staat de database?” en toch het grootste deel van de verwerkingsketen onbesproken laten.
De AVG verplicht verwerkingsverantwoordelijken om alleen verwerkers in te schakelen die afdoende garanties bieden, en om de verwerking in een overeenkomst vast te leggen. Artikel 28 gaat ook over schriftelijke instructies en het inschakelen van andere verwerkers. De EDPB-richtsnoeren over verwerkingsverantwoordelijken en verwerkers leggen uit dat rollen afhangen van de werkelijke doeleinden en middelen van elke verwerking, niet alleen van de labels die partijen kiezen.
Deze checklist vertaalt die governancevragen naar een praktische kaart. Hij bepaalt niet of een leverancier of een specifieke inzet rechtmatig is.
Breng de stroom in acht stappen in kaart
Maak één rij voor elke bestemming of verwerking. Voeg meerdere leveranciers niet samen in één vak “cloud”.
- Verzameling en upload. Noteer welke interface cv's, antwoorden op sollicitatievragen, contactgegevens en notities van recruiters ontvangt. Breng validatie, malwarescans en tijdelijke uploadlocaties in kaart.
- Primaire opslag. Noem de leverancier van database en bestandsopslag, de primaire regio, de scheiding tussen klantomgevingen (tenants), de versleuteling en welke medewerkers of servicerollen toegang hebben.
- Extractie en parsing. Leg vast of het volledige bestand of alleen de geëxtraheerde tekst de primaire opslag verlaat, welke dienst die ontvangt en welke tijdelijke kopieën of bestands-id's achterblijven.
- AI-ondersteunde analyse. Noteer de modelleverancier, de categorieën invoer, de gegenereerde output, de ingestelde bewaarmodus en of invoer of output mag worden hergebruikt voor modeltraining of verbetering van de dienst.
- Beoordeling door recruiters. Stel vast waar geparseerde feiten, bewijs per eis, hiaten, beoordelingsstatus en menselijke beslissingen worden opgeslagen. Houd AI-output gescheiden van handelingen van geauthenticeerde gebruikers.
- Beheer en support. Neem wachtrijen, logs, traces, foutdiagnostiek, analytics, supporttoegang, incidentonderzoek en elke door de klant goedgekeurde route voor probleemoplossing mee.
- Exports en koppelingen. Noteer downloads, e-mail, ATS-koppelingen, webhooks, handmatige kopieën en systemen verderop in de keten, die elk hun eigen regels voor toegang en bewaring meebrengen.
- Afsluiting en verwijdering. Leg vast wat verwijdering in gang zet, binnen welke termijn, met welke reikwijdte en hoe vaak, hoe back-ups worden behandeld, hoe verwijdering bij leveranciers en bij het einde van het contract verloopt, en welk bewijs er na afloop beschikbaar is.
De Q&A van de CNIL over de inzet van generatieve AI adviseert om rollen, contractuele verantwoordelijkheden, geautoriseerde toegang, doorgiften en eventueel hergebruik van aangeleverde gegevens door een leverancier vast te leggen. De CNIL maakt ook onderscheid tussen vormen van inzet, in plaats van elke gehoste dienst of API als gelijkwaardig te behandelen.
Leg elke leverancier langs dezelfde matrix
Skilltage-advies: vraag elke leverancier op de shortlist om dezelfde gegevens en noteer de bron van elk antwoord.
| Veld | Te beantwoorden vraag | Te bewaren onderbouwing |
|---|---|---|
| Doel | Waarom heeft deze verwerking sollicitatiegegevens nodig? | Productdocumentatie en contractbepaling |
| Gegevens | Welke bestanden, velden, prompts, output, metadata en id's gaan erin? | Gegevensstroomdiagram of ingevuld werkblad van de leverancier |
| Rol | Wie bepaalt het doel en de wezenlijke middelen van deze verwerking? | Verwerkersovereenkomst en toelichting op de rollen |
| Leverancier | Welke rechtspersoon voert dit uit en welke subverwerkers zijn erbij betrokken? | Actuele lijst van subverwerkers en meldingsvoorwaarden |
| Locatie | Waar kunnen gegevens worden opgeslagen, ingezien, ondersteund of doorgegeven? | Regio-instellingen en documentatie over doorgiften |
| Toegang | Welke rollen bij klant, leverancier, support en systemen kunnen gegevens opvragen? | Beschrijving van toegangsbeheer en testbewijs |
| Hergebruik | Worden gegevens gebruikt voor modeltraining, verbetering van de dienst, evaluatie of misbruikmonitoring? | Productinstelling, contract en beleid van de leverancier |
| Bewaring | Wat start en beëindigt elke bewaartermijn? | Bewaarschema voor primaire en afgeleide gegevens |
| Verwijdering | Wat wordt verwijderd uit opslag, modellen, logs, back-ups en bij leveranciers verderop in de keten? | Verwijderprocedure en verslag van een uitgevoerde test |
| Wijzigingen | Hoe worden nieuwe leveranciers, doelen, regio's of voorwaarden gemeld? | Meldingsproces, wijzigingslog en bezwaarprocedure |
Een e-mail van een verkoper staat niet gelijk aan een bindende contractbepaling of een instelling die daadwerkelijk aanstaat. Noteer de sterkste bron en de datum waarop u die hebt gecontroleerd.
Classificeer elk antwoord voordat u scoort
Gebruik drie statussen:
- Geobserveerd: het team heeft de instelling, de toegangsbeperking of het verwijderresultaat zelf gezien in een goedgekeurde testomgeving.
- Gedocumenteerd: een actueel contract, de verwerkersovereenkomst, een overzicht van subverwerkers, technische documentatie of beleid van de leverancier onderbouwt het antwoord.
- Niet geverifieerd: het antwoord is een bewering, een plan, dubbelzinnig of niet onderbouwd met materiaal dat de koper kan inzien.
Eén antwoord kan meer dan één status hebben. Het team kan bijvoorbeeld zien dat een bestand uit de interface verdwijnt, terwijl verwijdering uit back-ups alleen is gedocumenteerd en niet rechtstreeks waarneembaar is. Waardeer geen van beide delen stilzwijgend op tot bewezen.
Voorbeeld: volg één fictief cv
Een klein productiebedrijf vergelijkt twee tools voor AI-ondersteunde screening. Het maakt een fictief cv voor een onderhoudsplanner en een functiebriefing, en brengt daarna één volledige doorloop in kaart.
| Stap | Vastgelegde observatie | Status | Vervolgactie |
|---|---|---|---|
| Upload | De pdf komt in een werkruimte van de organisatie en is alleen zichtbaar voor leden | Geobserveerd | Vraag hoe de scheiding tussen klanten aan de serverkant wordt afgedwongen |
| Parsing | De leverancier stelt dat een modelleverancier de pdf tijdelijk ontvangt | Gedocumenteerd | Vraag naar de naam van die leverancier, de ingestelde bewaarmodus en het verwijdergedrag |
| Beoordeling | Geparseerde feiten en bewijs per eis staan naast het bronmateriaal | Geobserveerd | Vraag waar en hoe lang de output wordt bewaard |
| Diagnostiek | De verkoper zegt dat logs geen kandidaattekst bevatten | Niet geverifieerd | Vraag om het logbeleid en een representatief logvoorbeeld met gemaskeerde persoonsgegevens |
| Verwijdering | De kandidaat verdwijnt na een testverwijdering | Geobserveerd | Vraag wat er gebeurt met bestanden, afgeleide records, bestanden bij leveranciers, logs en back-ups |
Het resultaat is geen privacyscore waarvoor een leverancier slaagt of zakt, maar een lijst met bekende feiten, open vragen, verantwoordelijken en inkoopvoorwaarden.
Test de kaart voordat u echte cv's uploadt
- Gebruik een volledig zelfgemaakt fictief cv en een nieuwe sandbox- of demowerkruimte die de leverancier heeft goedgekeurd.
- Leg de productversie, configuratie, datum en gebruikte leveranciersdocumentatie voor de test vast.
- Volg het test-cv door upload, verwerking, beoordeling, export en verwijdering. Noteer zichtbare id's en statussen zonder om vertrouwelijke implementatiedetails te vragen.
- Test twee klantrollen om te bevestigen dat gewone gebruikers de bedoelde grens van hun werkruimte of rechten niet kunnen overschrijden.
- Laat de leverancier onderscheid maken tussen directe verwijdering, geplande opschoning, het verlopen van back-ups, bewaring van logs en verwijdering bij externe leveranciers.
- Vergelijk het waargenomen gedrag met het contract, de verwerkersovereenkomst, de lijst van subverwerkers, de privacydocumentatie en de technische antwoorden.
- Geef elk niet-geverifieerd punt een verantwoordelijke en een deadline. Upload geen echte sollicitatiegegevens zolang een wezenlijke gegevensstroom die niet kan worden uitgeschakeld, onverklaard blijft.
Het EDPB-advies over AI-modellen laat zien waarom de enkele bewering dat een model anoniem is niet volstaat: de beoordeling hangt af van de concrete omstandigheden en vereist onderbouwing over extractie en output. Het advies maakt van deze inkooptest geen beoordeling van anonimiteit of naleving.
Waarschuwingssignalen in antwoorden van leveranciers
- “Gehost in de EU” geldt voor één database, maar niet voor modelverwerking, supporttoegang, logs of doorgiften.
- “Wij bewaren geen cv's” laat prompts, geëxtraheerde tekst, output, bestands-id's of bewaring voor misbruikmonitoring buiten beschouwing.
- “Wij zijn AVG-compliant” komt in de plaats van een concrete uitleg van rollen, instructies, subverwerkers en verwijdering.
- De leverancier kan klantinhoud niet onderscheiden van telemetrie of gegevens voor modelverbetering.
- De lijst van subverwerkers vermeldt geen doel, locatie, wijzigingsmelding of actuele controledatum.
- Verwijderen betekent dat een record in de interface wordt verborgen, zonder antwoord over opgeslagen bestanden, afgeleide gegevens, logs, back-ups of leveranciers.
- Supportmedewerkers hebben ruime toegang, maar het is onduidelijk hoe die toegang wordt goedgekeurd, gelogd en beëindigd.
Het gedocumenteerde Skilltage-voorbeeld
Skilltage-advies: Skilltage publiceert op de subverwerkerspagina welke leveranciers het voor welke doelen gebruikt, in welke regio's, hoe bewaring en modeltraining zijn geregeld en welke regels voor doorgiften gelden. De gedocumenteerde stroom onderscheidt interfaces die door Cloudflare worden gehost, een AWS-backend en asynchrone verwerking, Supabase voor authenticatie, database en bestandsopslag, en parsing en inferentie met ondersteuning van OpenAI. Optionele telemetrieleveranciers worden apart vermeld in plaats van ze samen te voegen met de primaire applicatiestroom.
In de productworkflow uploaden geautoriseerde gebruikers van de organisatie pdf-cv's; geparseerde feiten en bewijs per eis uit het cv van de kandidaat ondersteunen de menselijke beoordeling; recruiters blijven verantwoordelijk voor status, voortgang, afwijzing en communicatie met kandidaten. Productrecords, menselijke handelingen, AI-tracemetadata en operationele logs dienen verschillende doelen en horen niet als één audittrail te worden beschreven.
De openbare informatie en de geaccepteerde contractdocumenten – niet dit artikel – zijn leidend voor de actuele leveranciersgegevens. Controleer die opnieuw wanneer u Skilltage beoordeelt, omdat leveranciers, instellingen en voorwaarden kunnen veranderen. De gids over bewaring na het sluiten van een wervingsdossier legt apart uit waar de huidige opschoning van bewijs ophoudt.
Beperkingen en verantwoordelijkheid
Dit werkblad is geen DPIA, doorgiftebeoordeling, juridisch advies, penetratietest, contractbeoordeling of beveiligingscertificering. Het bepaalt niet wat de rechtsgrond is voor de verwerking bij werving, of een verwerker afdoende garanties biedt, of een model anoniem is of dat een specifieke doorgifte is toegestaan.
Een fictieve test kan niet elke back-up, bevoorrechte toegangsroute, incidentprocedure of toekomstige leverancierswijziging aan het licht brengen. Gekwalificeerde specialisten op het gebied van privacy, beveiliging, arbeidsrecht en inkoop moeten de werkelijke organisatie, jurisdictie, overeenkomst, het beoogde gebruik en het risico beoordelen.
Volgende stap
Kies één leverancier op de shortlist en teken de kaart in acht stappen vóór het volgende verkoopgesprek. Stuur de open rijen vooraf en vraag voor elk antwoord een bron. Gebruik daarna de leverancierstest met fictieve cv's om de workflow te observeren en de bredere checklist voor AI-recruitmenttools om bewijs, menselijke controle, foutafhandeling en claims te beoordelen.
Bronnen
De bovenstaande bronnen bieden regelgevende en operationele context voor de relatie tussen verwerkingsverantwoordelijke en verwerker, de inzet van AI, hergebruik van gegevens en onderbouwing rond AI-modellen. Pas de actuele versies toe op uw eigen situatie; de matrix is een hulpmiddel voor de koper om bewijs te verzamelen, geen oordeel over naleving.