Loading...
Bij Levtor begrijpen wij dat HR-gegevens tot de meest gevoelige informatie binnen een organisatie behoren. Op deze pagina leggen wij transparant uit hoe wij omgaan met uw data wanneer u onze HR QA Bot gebruikt.
Deze pagina is opgedeeld in twee delen: een managementsamenvatting voor beslissers, en een technische deep-dive voor IT- en security-teams.
Alles wat u moet weten in 5 minuten
Medewerkers die de HR Bot gebruiken hoeven geen account aan te maken en worden niet geïdentificeerd. Vragen en antwoorden worden opgeslagen met automatische PII-maskering vóór opslag — namen, BSN, e-mailadressen en andere persoonsgegevens worden gedetecteerd en onleesbaar gemaakt. Wij kunnen daardoor niet herleiden wie welke vraag stelt.
Wij claimen geen eigendom over uw HR-documenten. Uw data is volledig gescheiden van andere organisaties — geen enkele andere klant kan bij uw documenten of chatgeschiedenis.
Uw HR-documenten en medewerkersvragen worden nooit gebruikt door externe partijen zoals OpenAI om hun modellen te trainen. Geanonimiseerde, niet-herleidbare data kan wel worden ingezet om ons eigen platform te verbeteren.
De relatie tussen Levtor en uw organisatie is afgedekt via een verwerkersovereenkomst (DPA). Chatgebruikers zijn anoniem en dus niet onderhevig aan individuele AVG-verplichtingen.
Wanneer u een HR-document uploadt (zoals een personeelshandboek, CAO, of verzuimprotocol), wordt dit document opgesplitst in kleinere stukken en omgezet naar wiskundige representaties (embeddings). Deze embeddings worden veilig opgeslagen in een Europese database. Het originele document wordt versleuteld bewaard. Alleen uw eigen medewerkers kunnen vragen stellen over uw documenten — andere organisaties hebben geen toegang.
Wanneer een medewerker een vraag stelt aan de HR Bot, wordt de vraag gebruikt om relevante informatie uit uw documenten op te halen. Vervolgens genereert een AI-model (OpenAI GPT-4o) een antwoord op basis van die informatie. De medewerker hoeft hiervoor niet in te loggen en wordt niet geïdentificeerd. De AI ontvangt de originele vraag om een accuraat antwoord te kunnen geven; vóór opslag in onze database worden persoonsgegevens (BSN, e-mail, telefoon, IBAN, namen, postcodes, IP-adressen, creditcards) automatisch gedetecteerd en gemaskeerd, zodat de bewaarde versie niet herleidbaar is tot een individu.
Wat in onze database wordt bewaard: vragen en antwoorden in PII-gemaskeerde vorm, plus operationele metadata (responstijden, kosten, taaldetectie, citaties, kwaliteitsmetrieken) en RAG-procesdetails (waar query-tekst eveneens gemaskeerd wordt opgeslagen). Deze gemaskeerde data wordt gebruikt voor kwaliteitsbewaking, facturatie en het verbeteren van het platform. Bewaartermijnen voor uw HR-documenten worden afgesproken in de verwerkersovereenkomst. Bij beëindiging van het abonnement wordt alle organisatie-specifieke data op verzoek verwijderd.
Doordat de HR Bot volledig anoniem werkt, worden er geen persoonsgegevens van medewerkers opgeslagen. Er is geen account, geen login, en geen manier om chatberichten te herleiden tot een individuele medewerker. Dit betekent dat individuele AVG-verzoeken (zoals recht op verwijdering) niet van toepassing zijn op de chatdata — er valt simpelweg niets te herleiden.
Wij gebruiken OpenAI voor twee dingen: het omzetten van tekst naar embeddings (voor het zoeken in documenten) en het genereren van antwoorden. Hierbij is het volgende van belang:
Omdat gespreksinhoud bij opslag automatisch PII-gemaskeerd wordt, bevat onze database geen leesbare persoonsgegevens — alleen gemaskeerde tekst en operationele metadata zoals responstijden, taalgebruik en kwaliteitsmetrieken. Deze niet-herleidbare data gebruiken wij om:
Belangrijk: deze data is niet herleidbaar tot individuele medewerkers. Voor de inzichten aan uw eigen organisatie blijft de data gekoppeld aan uw organisatie; branche-inzichten worden uitsluitend geaggregeerd en niet-herleidbaar gedeeld. Uw documenten zelf worden hiervoor nooit gedeeld.
Voor IT-managers, security officers en technische beslissers
Het Levtor HR QA Bot platform is gebouwd als een multi-tenant SaaS-applicatie met strikte data-isolatie op elk niveau.
PDF Upload → Tekst extractie (server-side)
→ Chunking (smart/semantic, 500-1000 tokens per chunk)
→ Embedding generatie (OpenAI text-embedding-3-small)
→ Opslag in Supabase PostgreSQL (EU — Ierland)
→ Origineel PDF in Supabase Storage (versleuteld)
Alleen de tekst wordt naar OpenAI gestuurd voor embedding. Het originele PDF-bestand verlaat de Europese servers niet.
Medewerker stelt vraag
→ Prompt injection detectie (server-side)
→ Query vertaling (indien niet-Engels → Engels voor zoeken)
→ Embedding van de vraag (OpenAI)
→ Vector search in tenant-specifieke chunks (pgvector)
→ Reranking van resultaten (Cohere, optioneel)
→ Systeem prompt + context + vraag → OpenAI GPT-4o
→ Streaming antwoord naar medewerker
→ PII-masking op vraag en antwoord
→ Gemaskeerde versie opgeslagen in database
Data-isolatie wordt op meerdere niveaus afgedwongen:
Het platform bevat een automatische PII-detectie en maskerings-module die de volgende gegevenstypen herkent en maskeert:
PII-masking wordt toegepast op alle data die in de database wordt opgeslagen (chatgeschiedenis, RAG-details). De AI ziet de originele vraag voor het genereren van een accuraat antwoord, maar de opgeslagen versie bevat geen leesbare persoonsgegevens.
Alle communicatie verloopt via HTTPS/TLS 1.3. HSTS is ingeschakeld met een max-age van 2 jaar inclusief subdomains en preload.
X-Content-Type-Options: nosniff, X-Frame-Options: DENY, Referrer-Policy: strict-origin-when-cross-origin, Permissions-Policy: camera=(), microphone=(), geolocation=().
Supabase Auth met gescheiden authenticatie voor admin en klantenportaal. Sessie-tokens worden automatisch ververst. Authenticatie is fail-closed: bij een fout in de auth-service wordt toegang geweigerd.
IP-gebaseerde rate limiting op alle API endpoints met specifieke limieten per endpoint-type (chat, admin, portal). Bij overschrijding wordt een 429-response met X-RateLimit headers geretourneerd.
Alle gebruikersinput wordt gecontroleerd op prompt injection patronen. Verdachte berichten worden geblokkeerd voordat ze de AI bereiken.
Cross-Origin Resource Sharing wordt dynamisch geconfigureerd per tenant op basis van toegestane domeinen in de database. Ongeautoriseerde origins worden geweigerd.
Het platform maakt gebruik van de volgende subverwerkers. Met elk van hen is een verwerkersovereenkomst (DPA) afgesloten.
| Subverwerker | Doel | Data | Locatie |
|---|---|---|---|
| Supabase | Database, opslag, authenticatie | Alle gestructureerde data, PDF-bestanden | EU (Ierland, aws-eu-west-1) |
| OpenAI | Embeddings, antwoord generatie | Documenttekst, chatvragen (tijdelijk; geen permanente opslag, max. 30 dagen misbruikdetectie) | EU-contract: OpenAI Ireland (Dublin); verwerking mede in de VS |
| Cohere | Reranking van zoekresultaten | Chatvraag + documentfragmenten (tijdelijk) | Canada (Toronto) |
| Vercel | Hosting, CDN, Serverless Functions | Runtime logs (max 30 dagen) | EU (Frankfurt — fra1) |
| Resend | Transactionele e-mail (contactformulier, verificatie van privacyverzoeken) | Naam, e-mailadres, berichtinhoud | VS |
Voor de overdracht van data naar de VS (OpenAI, Resend) zijn Standard Contractual Clauses (SCCs) van toepassing, conform de vereisten na het Schrems II-arrest; Resend is daarnaast gecertificeerd onder het EU-VS Data Privacy Framework. Voor Cohere (Canada) geldt het adequaatheidsbesluit van de Europese Commissie voor de Canadese commerciële sector (art. 45 AVG).
| Gegevenstype | Standaard bewaartermijn | Configureerbaar |
|---|---|---|
| Chatgesprekken — operationele metadata (kosten, responstijden, taal, kwaliteitsmetrieken) | Duur van het abonnement | Ja, per organisatie instelbaar via DPA |
| Chatgesprekken — inhoud (vragen en antwoorden, in PII-gemaskeerde vorm) | Duur van het abonnement | Ja, per organisatie instelbaar via DPA |
| HR-documenten en chunks | Duur van het abonnement | Verwijderbaar op verzoek |
| Geanonimiseerde research data (niet herleidbaar tot personen) | Onbeperkt | N.v.t. — bevat geen persoonsgegevens |
| Sessiegegevens | Tot sluiten browser tab | N.v.t. |
Bij beëindiging van het abonnement worden alle klantspecifieke data, documenten en embeddings op verzoek volledig en onherroepelijk verwijderd uit alle systemen. Geanonimiseerde, niet-herleidbare analytics data kan bewaard blijven voor platformverbetering.
AVG/GDPR: Volledig compliant. Verwerkersovereenkomst (DPA) beschikbaar voor alle klanten.
Supabase: SOC 2 Type II gecertificeerd. Data opgeslagen in EU (Ierland, aws-eu-west-1).
OpenAI: SOC 2 Type II gecertificeerd. API data wordt niet gebruikt voor training (opt-out standaard voor API).
Vercel: SOC 2 Type II gecertificeerd. GDPR-compliant dataverwerking.
Aangezien de HR Bot volledig anoniem werkt, zijn individuele AVG-verzoeken (Art. 17, Art. 20) niet van toepassing op chatdata — er worden geen persoonsgegevens opgeslagen die herleidbaar zijn tot een individu. Voor het beheer van organisatie-specifieke data biedt het platform de volgende mogelijkheden:
Chatdata verwijderen
Levtor kan op verzoek van de organisatie alle chatgeschiedenis voor een specifieke tenant verwijderen. Dit wordt afgehandeld via een intern beheerproces.
Data exporteren
Organisaties kunnen een export opvragen van hun chatgeschiedenis en documentenlijst. Dit wordt geleverd als JSON of CSV op aanvraag.
HR-documenten beheren
Via het klantenportaal kan uw organisatie zelf documenten uploaden, bijwerken en verwijderen. Bij verwijdering worden ook alle bijbehorende embeddings en chunks verwijderd.
Heeft u vragen over onze databeveiliging of wilt u meer details over een specifiek onderwerp? Neem contact op met:
Laatst bijgewerkt: 11 juni 2026