Beveiliging & Compliance
Hoe TMR jouw data beschermt — transparant en verifieerbaar.
Gehost en verwerkt in de EU
- Hosting: Hetzner, Duitsland — geen AWS, Azure of GCP
- Back-ups: vóór elke uitrol een back-up van de database, binnen de EU. Een tweede kopie buiten de server staat in de planning
- EU-partijen: hosting, database, AI-model en uitwijk liggen bij bedrijven die in de EU gevestigd zijn en standaard in de EU verwerken
- Uitzondering, alleen met jouw toestemming: kies je Accepteren in de cookiebanner, dan laadt de site de Meta-pixel van Meta Platforms Ireland. Meta kan die gegevens in de Verenigde Staten verwerken. Zie de privacyverklaring
- Herstel: doel RTO 4 uur, RPO 24 uur. De eerste restore-test die dat meet, staat gepland
Hoe onze AI werkt — en wat er NIET wordt verstuurd
Wat wij naar Mistral sturen
- Functietitel, standplaats en sector
- Organisatienaam en vacaturetekst
- Tekst van de eigen website en werkenbij-site
- Arbeidsmarktdata uit publieke bronnen en openbare vacatures
Wat wij NOOIT versturen
- Geen e-mailadressen, namen of IP-adressen van gebruikers
- Geen CV’s of sollicitatiedata
- Geen kandidaatprofielen
Mistral — EU AI-model
TMR draait op Mistral, een Europees AI-model van Mistral AI in Parijs. Valt Mistral uit, dan neemt Scaleway in Parijs het over met hetzelfde model. Beide verwerken standaard binnen de EU.
Analyse, verificatie en rapportgeneratie. Bewaart in- en uitvoer standaard 30 dagen voor misbruikcontrole.
Uitwijk bij uitval van Mistral, met hetzelfde model. Bewaart de inhoud niet.
Geen accountgegevens van gebruikers en geen gegevens van kandidaten gaan naar het AI-model. Een vacaturetekst kan wel de naam van een contactpersoon bij de werkgever noemen; die gebruiken we niet voor een oordeel over die persoon.
Verificatie
Bronvermelding per claim. Audit-trail per analyse beschikbaar.
Beveiliging van je account
Drie niveaus: admin, gebruiker, viewer
Verplicht voor beheerders, per organisatie verplicht te stellen voor iedereen
Automatische blokkering bij herhaalde foutieve logins
DDoS- en brute-force bescherming
Versleutelde verbindingen
Geautomatiseerde tests bij elke deploy
Uptime Kuma (beschikbaarheid) + Dozzle (logs)
Privacy — wat we wel en niet verwerken
TMR verwerkt geen persoonsgegevens van kandidaten, sollicitanten of burgers. Geen CV’s, geen profielen, geen social media data. Dit is een fundamenteel ontwerpprincipe — geen toevalligheid. Toch voldoen wij ook aan alle AVG- en GDPR-regels.
Wat we wél verwerken
| Gegeven | Doel | Grondslag |
|---|---|---|
| E-mailadres | Authenticatie, communicatie | Art. 6 lid 1b AVG |
| Naam en organisatie | Accountbeheer | Art. 6 lid 1b AVG |
| Gebruikslogboek | Beveiliging, audit-trail | Art. 6 lid 1f AVG |
Bewaartermijnen
| Gegevenstype | Bewaartermijn | Toelichting |
|---|---|---|
| Accountgegevens | Looptijd + 12 maanden | Verwijderd na beëindiging overeenkomst |
| Analyseresultaten | 12 maanden | Automatisch opgeschoond, eerder op verzoek |
| Technische logs | 24 maanden | Conform BIO-richtlijnen voor audit-trail |
Jouw rechten
Inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar.
Contact: info@talentmagnetradar.com — reactie binnen 30 dagen.
AI-regelgeving — onze classificatie
- Classificatie: beperkt risico / minimaal risico
- Hoewel recruitment in Annex III als hoog-risico wordt genoemd, valt TMR hierbuiten: geen individuele kandidaten verwerkt, geselecteerd of beoordeeld
- Human-in-the-loop: verplicht ontwerpprincipe — systeem besluit nooit autonoom
- IAMA: 23 vragen, bijgewerkt september 2026
- FRIA: vrijwillig opgesteld naar artikel 27 AI Act (september 2026)
- Restrisico op alle fundamentele rechten: nihil tot laag
Waarom TMR géén high-risk AI-systeem is
De EU AI Act noemt recruitment in Annex III als potentieel hoog-risico domein. TMR valt hier echter expliciet buiten omdat:
- TMR beoordeelt geen individuele kandidaten — er worden geen CV’s, profielen of sollicitaties verwerkt
- TMR neemt geen autonome beslissingen — alle output is informatief, de recruiter beslist
- TMR verwerkt geen persoonsgegevens van kandidaten — alleen arbeidsmarktdata, vacatures en de accountgegevens van de eigen gebruikers
- TMR filtert of rankt geen personen — het systeem analyseert markten, niet mensen
Onderbouwing vastgelegd in onze IAMA (23 vragen) en FRIA (Artikel 27 AI Act), beide beschikbaar op aanvraag.
Waar we staan — eerlijk overzicht
Met wie we werken
| Partij | Doel | Locatie | Verwerkersovereenkomst |
|---|---|---|---|
| Hetzner | Hosting, backups & orchestratie | Duitsland (EU) | ✅ Getekend |
| Mistral | AI-model | Frankrijk (EU) | ✅ Getekend |
| Scaleway | Uitwijk voor het AI-model (zelfde Mistral-model) | Frankrijk (EU) | ✅ Van toepassing (standaard DPA) |
| Lettermint | Transactionele e-mail | Nederland (EU) | ✅ Getekend |
| ScrapingBee | Scraping concurrentie-/vacaturedata (LinkedIn, Indeed, Glassdoor) | Frankrijk (EU), servers primair EU | ✅ Van toepassing (standaard DPA) |
Mistral en Scaleway ontvangen de functie, de vacature en de organisatie waarvoor je analyseert, plus publieke arbeidsmarktdata. Geen gegevens van gebruikers, geen CV’s, geen kandidaatprofielen. Alle partijen hierboven zijn in de EU gevestigd.
Wat als er iets misgaat
Post-incident review: binnen 5 werkdagen na P1/P2. Contact: info@talentmagnetradar.com
Beschikbaarheid & exit
SLA
- Uptime target: 99,5% (gemeten per kalendermaand)
- Gepland onderhoud: een update gaat pas live als er geen analyse meer loopt, dus een lopende analyse wordt nooit afgebroken. Tijdens de update start je hooguit een kwartier geen nieuwe analyse
- Monitoring: Uptime Kuma voor beschikbaarheid, Dozzle voor logs
Exit-clausule
- Opzegtermijn: één maand, tegen het einde van de lopende periode
- Data-export: volledige export binnen 5 werkdagen op verzoek
- Verwijdering: alle data verwijderd binnen 30 dagen na beëindiging
Beschikbare documenten
Vragen over beveiliging of compliance?
We beantwoorden graag al je vragen — van AVG tot AI Act.