Regels in de code..
Twee landen, één handhavingspijplijn. AVG, EAA, DSA en cookiewetgeving voor Nederland en België, afgedwongen in de code en niet per site met de hand.
Wat we per build checken
Lighthouse a11y ≥ 95, axe-core 0 violations, CSP zonder unsafe-inline, geen third-party scripts in de kritieke render, geen tracking-pixels zonder Consent Mode v2. Eén regressie = rode build.
Waar we over publiceren
Elk kwartaal publiceren we een public audit-sheet: welke regelingen we dekken, welke we nog niet dekken, welke leveranciers we gebruiken en hun sub-processors. Geen compliance-theater, wel een papieren spoor.
Privacy & remove-flow
Bedrijfspagina's worden automatisch samengesteld uit publieke bronnen — KvK-handelsregister, Google Maps, gemeente-feeds, publieke websites. Conform AVG art. 14 staat op elke unclaimed pagina vermeld waar de data vandaan komt.
Iedereen kan een verwijderverzoek indienen via /privacy/verwijderen/. 2-staps flow: e-mail invoeren, klikken op bevestigingslink. Daarna pagina gedepubliceerd binnen 24u en e-mail permanent geblacklist.
Geclaimde merchants verwijderen 1-klik vanuit hun dashboard. ANBI-bestuurders-emails worden nooit publiek getoond.
AI-transparantie & Gesponsord-labels
De AI-assistent toont aanbevelingen. Conform DSA art. 26 + Reclamecode Online Marketing krijgt elke betaalde aanbeveling een duidelijk Gesponsord-label. Klik opent een modal met: adverteerder (KvK), tier-bracket, algoritme-weging, link naar transparantie-rapportage.
Kwaliteit (rating × reviews) blijft leidend. Paying partners krijgen alleen voorrang bij gelijkwaardige resultaten. Geen bedrijf onder 4-sterren-norm wordt aanbevolen.
Security & data-residentie
Data-residentie: Supabase EU-West (Ierland). AES-256-GCM voor token-encryption. CSP zonder unsafe-inline. HSTS preload. Rate-limiting via Postgres-RPC.
Audit-log 90d retentie. HMAC-tokens voor unsubscribe / booking-cancel / privacy-removal. Open-redirect prevention via host-whitelist.
DPIA opgesteld voor AI-decisioning + tier-weighted ranking. Beschikbaar voor AP-inspectie.
Klachten & appèl-route
Klacht? Dien deze in via /dsa/ — 24u-SLA bevestiging, 30d oplossing.
Beroep bij Autoriteit Persoonsgegevens of ACM.
Privacy: privacy@questmediagroup.eu · DSA: dsa@questmediagroup.eu · KvK: 82781486 · BTW: NL862602282B01