Regels in de code..
24 jurisdicties, 24 talen, één enforcement-pipeline. AVG, EAA, DSA, TMG, cookie-wetgeving per lidstaat — afgedwongen door CI, niet door juristen.
Wat we per build checken
Lighthouse a11y ≥ 95, axe-core 0 violations, CSP zonder unsafe-inline, geen third-party scripts in de kritieke render, geen tracking-pixels zonder Consent Mode v2. Eén regressie = rode build.
Waar we over publiceren
Elk kwartaal publiceren we een public audit-sheet: welke regelingen we dekken, welke we nog niet dekken, welke leveranciers we gebruiken en hun sub-processors. Geen compliance-theater, wel een papieren spoor.
Privacy & remove-flow
Bedrijfspagina's worden automatisch samengesteld uit publieke bronnen — KvK-handelsregister, Google Maps, gemeente-feeds, publieke websites. Conform AVG art. 14 staat op elke unclaimed pagina vermeld waar de data vandaan komt.
Iedereen kan een verwijderverzoek indienen via /privacy/verwijderen/. 2-staps flow: e-mail invoeren, klikken op bevestigingslink. Daarna pagina gedepubliceerd binnen 24u en e-mail permanent geblacklist.
Geclaimde merchants verwijderen 1-klik vanuit hun dashboard. ANBI-bestuurders-emails worden nooit publiek getoond.
AI-transparantie & Gesponsord-labels
De AI-assistent toont aanbevelingen. Conform DSA art. 26 + Reclamecode Online Marketing krijgt elke betaalde aanbeveling een duidelijk Gesponsord-label. Klik opent een modal met: adverteerder (KvK), tier-bracket, algoritme-weging, link naar transparantie-rapportage.
Kwaliteit (rating × reviews) blijft leidend. Paying partners krijgen alleen voorrang bij gelijkwaardige resultaten. Geen bedrijf onder 4-sterren-norm wordt aanbevolen.
Security & data-residentie
Data-residentie: Supabase EU-West (Ierland). AES-256-GCM voor token-encryption. CSP zonder unsafe-inline. HSTS preload. Rate-limiting via Postgres-RPC.
Audit-log 90d retentie. HMAC-tokens voor unsubscribe / booking-cancel / privacy-removal. Open-redirect prevention via host-whitelist.
DPIA opgesteld voor AI-decisioning + tier-weighted ranking. Beschikbaar voor AP-inspectie.
Klachten & appèl-route
Klacht? Dien deze in via /dsa/ — 24u-SLA bevestiging, 30d oplossing.
Beroep bij Autoriteit Persoonsgegevens of ACM.
Privacy: privacy@questmediagroup.eu · DSA: dsa@questmediagroup.eu · KvK: 82781486 · BTW: NL862602282B01