Privacy & beveiliging
Je CV-data verlaat Europa nooit.
En blijft nergens hangen.
SignalMatch is gebouwd vanuit één principe: minimaliseer wat we weten. Geen AI-lab dat je CV's hergebruikt voor training. Geen tussenstappen in de VS. Originele PDF's verdwijnen na verwerking. Tenzij je anonimiseren bewust uitzet voor een specifieke upload, dan draait alleen een lichtere regex-pas. De output blijft geanonimiseerd.
SignalMatch is een product van SPAIK. Deze pagina beschrijft de product-specifieke verwerking; voor het overkoepelende beleid zie het SPAIK privacybeleid.
EU-only architecture
Supabase Frankfurt, Mistral La Plateforme EU, Privacy Filter en Puppeteer in Railway EU. Alle PII-paths blijven binnen Europa.
Zero data retention
Mistral La Plateforme heeft contractuele ZDR: geen training, geen opslag van je CV-tekst. Originele PDF verwijderd na verwerking.
Logs zonder PII
Onze logs bevatten status, customer_id, en timestamps. Geen CV-tekst, geen kandidaat-namen, geen contactgegevens.
Dedicated tenant op aanvraag
Voor compliance-zware sectoren bieden we een dedicated EU Supabase tenant: geen multi-tenant data co-mingling, configureerbare retentie, getekende DPA.
Data flow
Wat er met jouw CV gebeurt
- 01
Upload
Recruiter uploadt PDF naar Supabase Storage (Frankfurt EU). Beveiligd met TLS 1.3 en encryption-at-rest.
- 02
PII detectie (lokaal)
Onze Privacy Filter container (Railway EU) detecteert en redacteert PII. Stateless, geen retentie. Jouw CV-tekst wordt in deze stap niet via API naar een externe AI-provider gestuurd.
- 03
Structurering (Mistral EU, ZDR)
De geredacteerde tekst gaat naar Mistral La Plateforme (Frankrijk) onder contractuele zero data retention. Geen training, geen opslag. Mistral structureert de geanonimiseerde tekst naar JSON en herschrijft de bullets tot consistente zinnen, altijd op de al-geanonimiseerde tekst. Wanneer je anonimiseren uitzet voor een upload, draait alleen een lichtere regex-pas (BSN, IBAN, e-mail, telefoon, URLs); de output blijft geanonimiseerd. Volledige naam-/adres-preservatie volgt in een latere update. Je behoudt verantwoordelijkheid voor een rechtmatige grondslag.
- 04
Renderen
Puppeteer renderer (Railway EU) rendert de JSON naar een PDF in jouw huisstijl. Stateless, geen retentie.
- 05
Cleanup
Originele PDF wordt verwijderd uit Storage (configureerbaar; standaard binnen 24u). Tussen-JSON wordt verwijderd na succesvolle render. De geanonimiseerde versie blijft beschikbaar zolang jij dat wil.
Sub-processors
Volledige lijst van diensten die jouw data raken
| Sub-processor | Functie | Locatie | Retention |
|---|---|---|---|
| Supabase | Auth, database, file storage (originele + geanonimiseerde PDFs) | Frankfurt (eu-central-1) | Origineel verwijderd na succesvolle verwerking; geanonimiseerd blijft bij customer |
| Mistral La Plateforme | LLM-step: structureren CV-tekst naar JSON | EU (Frankrijk) | Zero data retention (contractueel ZDR: geen training, geen opslag) |
| Privacy Filter (Railway) | PII-detectie en redactie | Railway EU regio | Geen retention: stateless container |
| Puppeteer renderer (Railway) | Render JSON → PDF in huisstijl | Railway EU regio | Geen retention: stateless container |
| Vercel | Frontend hosting (statische assets, geen PII) | Globale CDN; PII raakt Vercel niet | Geen PII passes through Vercel |
| Mollie | Betaalverwerking (alleen abonnement-data, geen CV-content) | EU (Nederland) | Conform Mollie privacybeleid |
Geen AWS, geen Google Cloud, geen Azure, geen OpenAI, geen Anthropic, geen Cloudflare voor PII-paths.
AVG-mapping
Waar we aan voldoen
| AVG Artikel | Hoe SignalMatch dit invult |
|---|---|
| Art. 5 (1)(c): Dataminimalisatie | We anonimiseren PII uit CV’s; alleen geanonimiseerde versies worden lang bewaard |
| Art. 5 (1)(e): Opslagbeperking | Origineel verwijderd na succesvolle verwerking (configureerbaar) |
| Art. 17: Recht op vergetelheid | Recruiter kan via /cvs elke CV (origineel + anoniem) verwijderen; geen kandidaat-PII centraal opgeslagen |
| Art. 28: Verwerkersovereenkomst | DPA-template downloadbaar voor eigen vastlegging; getekende DPA bij dedicated EU tenant |
| Art. 32: Beveiliging van verwerking | TLS 1.3, encryption-at-rest in Supabase EU, JWT auth, Row-Level Security policies, geen API-keys in browser |
| Art. 35: DPIA | Anonimisering reduceert risico; DPIA-template beschikbaar op aanvraag voor compliance-zware setups |
Verwerkersovereenkomst
DPA-template (NL)
Onze DPA-template volgt AVG art. 28 en kan dienen als basis voor jouw eigen vastlegging. Voor dedicated EU tenant setups wordt de DPA door beide partijen digitaal ondertekend tijdens activatie.
Vraag DPA aanWe reageren binnen 1 werkdag. Stuur ook gerust direct vragen over je specifieke compliance-context. Lex bij SPAIK denkt graag mee.
Vragen?
Direct contact
Voor privacy-vragen, DPIA-aanvragen, audit-verzoeken, compliance-context of algemene support: mail info@spaik.io.
Klaar om te starten?
5 CV's gratis. EU-only.
Geen creditcard. Geen sales-call. Stop wanneer je wil.
Maak gratis account