Versie van 24 oktober 2026
1. Gegevensbeheerder en rollen
Vik Consulting SRL, Sans Soucistraat 112, 1050 Brussel, exploitant van het merk Thalionis, is verantwoordelijk voor de verwerking die nodig is voor het beheer van de site, prospects, rekeningen, veiligheid, facturatie en zijn eigen beoordelingen. Contact: assessment@thalionis.com · BTW BE 0693.674.615.
Wanneer een bedrijf Studio Thalionis gebruikt om zijn kandidaten of werknemers te evalueren, bepaalt dit bedrijf doorgaans de doeleinden van de evaluatie en treedt het op als gegevensbeheerder. Vik Consulting SRL treedt dan op als onderaannemer voor de hosting, het beheer en de technische productie van de cursus, met uitzondering van zijn eigen verplichtingen. Deze rollen zijn vastgelegd in het contract en de verwerkersovereenkomst.
2. Betrokkenen
Dit beleid heeft betrekking op sitebezoekers, prospects, klanten, bedrijfsmanagers, recruiters, consultants, externe kandidaten, geëvalueerde medewerkers en gebruikers van Studio- of Expert Thalionis-ruimtes.
3. Verwerkte gegevens
- identiteit, contactgegevens, bedrijf, functie en taal;
- accountgegevens, toegangsrechten, verbindingslogboeken, IP-adres, tokens en gebruiksgeschiedenis;
- Cv, foto wanneer deze in het traject wordt verzameld, diploma’s, ervaring, professionele informatie en externe testrapporten die voor het aangekondigde doel worden verstrekt;
- antwoorden op de geselecteerde vragenlijsten, resultaten, scores en analyses van gedragsprofielen;
- observaties uit interviews en scenario's, aantekeningen en aanbevelingen van adviseurs;
- communicatie, ondersteuningsverzoeken, bestellingen, kredieten, facturen en betalingen;
- technische gegevens die nodig zijn voor de veiligheid en goede werking van de dienst.
Thalionis vraagt geen gevoelige gegevens op zonder aangetoonde juridische en operationele noodzaak. Klanten en gebruikers kunnen alleen informatie invoeren die relevant is voor de functie en het beoogde doel.
4. Herkomst van gegevens
De gegevens zijn afkomstig van de betrokkene, het klantbedrijf, een geautoriseerde recruiter of consultant, de antwoorden die tijdens het assessment zijn gegeven en de technische systemen die worden gebruikt om de cursus te beveiligen. Wanneer de gegevens niet rechtstreeks van de persoon worden verkregen, ontvangt de persoon de vereiste informatie binnen de wettelijke termijnen.
5. Doeleinden en rechtsgrondslagen
- het verzorgen van de locatie, Studio en de beoordelingen: uitvoering van het contract of precontractuele maatregelen;
- sollicitaties beheren en rapporten opstellen: een geldige grondslag die de verwerkingsverantwoordelijke voor de context bepaalt, zoals een gedocumenteerd gerechtvaardigd belang of precontractuele maatregelen wanneer aan de voorwaarden is voldaan; het commerciële contract tussen Thalionis en de klant rechtvaardigt op zichzelf de verwerking van kandidaatgegevens niet;
- accounts, bestellingen, tegoeden en facturen beheren: contractuele en wettelijke verplichtingen;
- de toegang beveiligen, misbruik voorkomen en de traceerbaarheid garanderen: legitieme belangen en veiligheidsverplichtingen;
- reageren op verzoeken: precontractuele maatregelen of legitiem belang;
- een commerciële communicatie versturen: toestemming indien vereist of legitiem belang binnen de toegestane grenzen;
- voldoen aan fiscale, sociale, gerechtelijke en reglementaire verplichtingen: wettelijke verplichting.
Toestemming wordt alleen gebruikt als deze een geldige grondslag vormt en kan op elk moment worden ingetrokken zonder eerdere verwerkingen te beïnvloeden.
6. Verplichte gegevens
De als verplicht gemarkeerde gegevens zijn noodzakelijk voor het aanmaken van het account, de identificatie van de kandidaat, de beveiliging of het afronden van het assessment. Hun afwezigheid kan de toegang tot de dienst of de productie van een rapport belemmeren. Overige gegevens zijn optioneel.
7. Kunstmatige intelligentie en menselijke controle
Bepaalde stappen kunnen worden ondersteund door een systeem van kunstmatige intelligentie om de verzamelde informatie te structureren, op elkaar af te stemmen en te synthetiseren. Het systeem beslist nooit over de aanwerving, promotie of ontwikkeling van een persoon. De resultaten worden gecontroleerd, gecontextualiseerd en gevalideerd door een competent persoon die ze kan wijzigen of afkeuren.
Voorafgaand aan het assessment krijgt de kandidaat passende informatie over het doel van de verwerking, de gebruikte gegevens, de bijdrage van AI, menselijke controle en hun rechten. Hij kan vragen om een begrijpelijke uitleg, wijzen op een fout, zijn standpunt naar voren brengen en om een menselijke beoordeling verzoeken. Thalionis bereidt ook zijn documentatie, governance en controles voor op de verplichtingen die vanaf 2 december 2027 van toepassing zijn op AI-systemen met een hoog risico.
8. Ontvangers en onderaannemers
De gegevens zijn alleen toegankelijk voor bevoegde personen van Vik Consulting, voor de betrokken klant, voor de consultants die aan de missie zijn toegewezen en voor de dienstverleners die essentieel zijn voor hosting, messaging, beveiliging, betaling, ondersteuning, documentaireproductie en technologische assistentie. Elke toegang is beperkt tot de noodzaak om te weten en contractueel geregeld.
9. Internationale overschrijvingen
Vik Consulting SRL is gevestigd in België. De publieke website en de operationele VPS van Cockpit Thalionis worden door OVHcloud gehost in Gravelines, Frankrijk. De automatische OVHcloud-back-ups van deze infrastructuur worden eveneens in Frankrijk gehost. De locatie van de VPS bepaalt niet waar andere dienstverleners gegevens verwerken.
De AI-ondersteuning gebruikt de OpenAI-API met een project ingesteld op “Global” en standaardbewaring. Vrijwillig delen voor modeltraining of -verbetering is uitgeschakeld. Deze configuratie garandeert geen uitsluitend Europese verwerking en houdt geen goedkeuring voor Zero Data Retention in. De publieke overeenkomst van OpenAI voorziet in OpenAI Ireland Ltd. voor klanten gevestigd in de EER en waarborgen voor internationale doorgiften; verwerking buiten de EER of Zwitserland, onder meer in de Verenigde Staten, blijft mogelijk. Aan OpenAI is bevestiging gevraagd van de bestemmingen en waarborgen die op onze organisatie van toepassing zijn, ook voor Zwitserse gegevens. Uitsluitend Europese gegevensresidentie wordt niet toegezegd.
De professionele e-mail gebruikt Google Workspace, met een Business Starter-abonnement afgesloten via Wix. Automatische berichten van Thalionis gebruiken de SMTP-server van Google, smtp.gmail.com, en het adres assessment@thalionis.com. Google verwerkt de gegevens die nodig zijn voor de communicatie, waaronder adressen, berichtinhoud, eventuele bijlagen en technische aflevergegevens. Een abonnement via Wix betekent niet dat Wix deze mailbox host of elk bericht verwerkt. Voor deze configuratie is geen uitsluitend Europese gegevensresidentie vastgesteld; verwerking buiten de EER of Zwitserland, onder meer in de Verenigde Staten, is mogelijk afhankelijk van de betrokken diensten en subverwerkers.
De publieke documenten van Google voorzien in een verwerkersovereenkomst, bepalingen over de Zwitserse LPD/DSG en doorgiftemechanismen, waaronder waar toepasselijk standaardcontractbepalingen. De toepassing hangt af van de betrokken contracten en diensten; een verwijzing naar deze documenten is geen conformiteitscertificering. De lijsten van dienstverleners beschrijven mogelijke bestemmingen en soms voorwaardelijke tussenkomsten, zonder de route van een specifiek dossier aan te tonen. Vóór het assessment moet de informatie voor het dossier de ontvangende staten en de daadwerkelijk toepasselijke waarborgen vermelden.
10. Bewaartermijnen
- kandidatendossiers en rapporten: de termijn die noodzakelijk is voor het doel, vastgesteld en gemotiveerd door de verantwoordelijke en vóór de evaluatie meegedeeld met een precies startpunt; het gebruik van Thalionis rechtvaardigt op zichzelf geen algemene bewaring van 24 maanden;
- accounts en gebruiksgegevens: tijdens de contractuele relatie dan de duur die nodig is voor de sluiting en verdediging van rechten;
- boekhoudgegevens en facturen: voor de toepasselijke wettelijke periode;
- beveiligingslogboeken: gedurende een periode die evenredig is aan de beveiligings- en bewijsbehoeften;
- vooruitzichten: tot drie jaar na het laatste relevante contact, tenzij eerder verzet;
- proefgegevens: verwijderd of geanonimiseerd na sluiting van het account en noodzakelijke technische deadlines.
Technische bewaring bij OpenAI: de software vraagt om antwoorden niet als applicatiestatus op te slaan (store=false). Logbestanden voor misbruikpreventie kunnen toch inhoud bevatten en worden standaard maximaal 30 dagen bewaard, met wettelijke of veiligheidsuitzonderingen; sommige technische caches kunnen maximaal 24 uur blijven bestaan. Voor geüploade bestanden gelden aparte regels: de software vraagt na analyse om verwijdering, maar garandeert momenteel geen nieuwe poging bij mislukte verwijdering. Zonder daadwerkelijke verwijdering of vervaldatum kunnen deze bestanden bij de dienst bewaard blijven. Deze termijnen vervangen niet de bewaartermijn van het assessmentdossier in Thalionis.
E-mailberichten en eventuele bijlagen volgen een andere levenscyclus dan het kandidaatdossier en moeten worden verwijderd zodra zij niet meer nodig zijn, onder voorbehoud van wettelijke verplichtingen en de verdediging van rechten. Het wissen van een Thalionis-dossier verwijdert niet automatisch berichten of kopieën bij ontvangers. Het publieke document van Google voorziet na een voor de klant onomkeerbaar geworden verwijderingsinstructie in een technische termijn van maximaal 180 dagen, tenzij bewaring wettelijk verplicht is; dit geeft geen toestemming om berichten standaard 180 dagen te bewaren.
11. Beveiliging
Thalionis past passende technische en organisatorische maatregelen toe: toegangscontrole, rolscheiding, encryptie waar relevant, back-ups, logging, incidentbeheer, contractuele vertrouwelijkheid en regelmatige beoordeling van autorisaties. Geen enkel systeem kan echter een nulrisico garanderen.
12. Uw rechten
Wanneer de AVG geldt, heeft u onder haar voorwaarden recht op inzage, rectificatie, wissing, beperking, bezwaar en overdraagbaarheid. U kunt toestemming voor de toekomst intrekken en gebruikmaken van de waarborgen voor uitsluitend geautomatiseerde besluiten met rechtsgevolgen of vergelijkbare aanzienlijke gevolgen.
In Zwitserland voorziet artikel 25 LPD/DSG in inzage in gegevens en informatie over de verwerking. Rectificatie en andere aanspraken ter bescherming van de persoonlijkheid, waaronder vernietiging onder de toepasselijke voorwaarden, kunnen worden uitgeoefend. Artikel 28 voorziet onder voorwaarden in afgifte of overdracht van door de persoon verstrekte gegevens; dit omvat niet automatisch alle AI-afleidingen. Artikel 21 biedt waarborgen voor bepaalde uitsluitend geautomatiseerde individuele besluiten, waaronder menselijke herbeoordeling, behoudens wettelijke uitzonderingen.
13. Klachten
U kunt een klacht indienen bij de Belgische Gegevensbeschermingsautoriteit: Drukpersstraat 35, 1000 Brussel · contact@apd-gba.be · autoriteprotectiondonnees.be.
14. Cookies en updates
Na uw toestemming activeert de site Google Analytics 4 en een interne teller die met Cockpit Thalionis is verbonden. Browser- en sessie-identificatoren en navigatiegebeurtenissen dienen voor publieksmeting. Gehashte of gepseudonimiseerde gegevens zijn niet automatisch anoniem. Netwerkcommunicatie vereist technische verwerking van een IP-adres; infrastructuurlogboeken en Google-verwerkingen staan los van de interne teller. Het cookiebeleid beschrijft de tools en intrekking van toestemming. De datum van dit beleid wordt bij wijzigingen bijgewerkt.
15. Toepasselijk kader in Zwitserland
Voor verwerkingen die onder Zwitsers recht vallen, geldt dit beleid samen met de LPD/DSG en haar verordening. Verwijzingen naar AVG-rechtsgronden beschrijven het Europese kader en vervangen niet de Zwitserse vereisten van rechtmatigheid, transparantie, doelbinding en evenredigheid. Bij rekrutering en private arbeidsrelaties moeten gegevens relevant zijn voor professionele geschiktheid of noodzakelijk voor de arbeidsovereenkomst, onder meer volgens artikel 328b van het Zwitserse verbintenissenrecht.
16. Profilering en afzonderlijke toestemming
Gegevens combineren om aspecten van professioneel functioneren te beoordelen kan profilering vormen. De verantwoordelijke moet beoordelen of dit profilering met hoog risico onder de LPD/DSG is en de vereiste effectbeoordeling uitvoeren wanneer de verwerking waarschijnlijk een hoog risico inhoudt. Wanneer toestemming de grondslag is voor profilering met hoog risico of gevoelige gegevens, moet zij uitdrukkelijk zijn volgens de toepasselijke vereisten. Algemene toestemming rechtvaardigt geen overmatige verzameling of omzeiling van arbeidsrechtelijke bescherming.
Bewaring voor toekomstige kansen en gebruik voor een ander doel moeten afzonderlijk worden beoordeeld. Assessmentgegevens mogen niet vrij worden hergebruikt om een model te trainen of een geheugen voor andere dossiers te verrijken. Daarvoor zijn een afzonderlijk kader, passende informatie en de vereiste waarborgen en toestemmingen nodig.
17. Informatie over doorgiften vóór een assessment
Voor een persoon in Zwitserland moet de dossierinformatie de bestemmingslanden vermelden, ook bij doorgiften naar België of Frankrijk, en de relevante waarborgen of uitzonderingen volgens artikelen 16 tot 19 LPD/DSG. Voor verwerkingen onder de AVG gelden ook de Europese doorgifteregels. Een adequaatheidsbesluit heft de informatieplicht en andere beschermingsverplichtingen niet op.
Vóór een echt assessment moeten het bedrijf en Thalionis de dienstverleners, verwerkingslanden en daadwerkelijk toepasselijke waarborgen voor het dossier aangeven, ook voor AI en back-ups. Heeft u deze informatie niet ontvangen, vraag ze dan aan het bedrijf of assessment@thalionis.com voordat u uw dossier indient of de evaluatie start. Dit algemene beleid vervangt die specifieke informatie niet.
18. Einde van de werving en back-ups
In Zwitserland worden dossiers van afgewezen kandidaten in beginsel na de procedure verwijderd, tenzij een gerechtvaardigde reden voor bewaring bestaat. Ook een door de klant gevraagde termijn van 12 maanden moet worden gemotiveerd; dit is geen algemene wettelijke termijn. Bewaring in een afzonderlijke talentpool moet worden meegedeeld en zo nodig afzonderlijk worden aanvaard. Een louter technische raadpleging verlengt de bewaartermijn niet.
De momenteel vastgestelde automatische OVHcloud-back-up is het Standard-abonnement: dagelijks wordt een VPS-back-up gemaakt, met een bewaartermijn van 24 uur. Bewaring gedurende zeven dagen hoort bij de Premium-optie en is niet het vastgestelde abonnement. Deze termijn van 24 uur geldt alleen voor deze OVHcloud-back-up; hij garandeert niet dat alle verwijderde gegevens binnen 24 uur verdwijnen en omvat geen eventuele lokale kopieën, exports, andere back-ups of kopieën bij dienstverleners. Hun inventaris en levenscyclus moeten in de serviceafspraken worden vastgelegd. De herstelprocedure moet voorkomen dat eerder gewiste dossiers opnieuw worden ingevoerd.
19. Uw rechten uitoefenen en autoriteiten contacteren
Schrijf naar assessment@thalionis.com met uw verzoek en de nodige identificatiegegevens, zonder overmatige documenten te sturen. Wanneer Thalionis verwerker is, wordt het verzoek naar het verantwoordelijke bedrijf geleid en ondersteunt Thalionis dit bedrijf. Voor inzage geldt in beginsel 30 dagen onder de LPD/DSG en één maand onder de AVG, behoudens wettelijk gemotiveerde verlengingen of beperkingen. Voor andere verzoeken gelden de termijnen die bij hun aard passen.
Voor verwerkingen onder Zwitsers federaal recht kunt u een situatie melden aan de federale toezichthouder voor gegevensbescherming en openbaarheid (PFPDT/EDÖB): www.edoeb.admin.ch. Deze is een toezichthouder, geen rechtbank die schadevergoeding toekent. Voor kantonnale of gemeentelijke instanties kan de kantonnale toezichthouder bevoegd zijn. Gerechtelijke rechtsmiddelen blijven behouden.
Documenten van dienstverleners: