Privacy­verklaring

In deze privacyverklaring staat welke persoonsgegevens Talentpull verwerkt, waarvoor, met wie wij ze delen, hoe lang wij ze bewaren en hoe je ze laat verwijderen. Ze geldt voor de website talentpull.ai, de app op app.talentpull.ai (voorheen ads.debanenbank.nl), de sollicitatieformulieren op solliciteren.talentpull.ai en de koppeling met Facebook en Instagram van Meta.

Kort gezegd: wij gebruiken gegevens alleen om Talentpull te laten werken, wij verkopen ze aan niemand, de app en de database staan in Duitsland, en je kunt je gegevens altijd laten verwijderen. Hoe dat gaat staat onder Gegevens laten verwijderen.

1. Wie wij zijn

Talentpull is de handelsnaam van HIREON MARKETING FZ, gevestigd in Dubai Digital Park, Building A1, Dubai Silicon Oasis, Dubai, Verenigde Arabische Emiraten. Je bereikt ons via info@talentpull.ai of op +971 52 595 5709.

Wij zijn gevestigd buiten de Europese Unie, maar bieden Talentpull aan in de EU. De Algemene verordening gegevensbescherming (AVG) is daarom op ons van toepassing, en deze verklaring is daarop geschreven.

2. Twee rollen

Talentpull wordt gebruikt door recruitmentbureaus en werkgevers die op Facebook en Instagram werven. In deze verklaring noemen wij hen "het bureau".

• Voor de gegevens van het bureau en zijn gebruikers zijn wij verwerkingsverantwoordelijke. Wij bepalen zelf waarom en hoe wij die verwerken.
• Voor de gegevens van sollicitanten is het bureau verwerkingsverantwoordelijke en zijn wij verwerker. Wij verwerken die gegevens alleen in opdracht van het bureau, volgens de verwerkersovereenkomst met het bureau, een bijlage bij de algemene voorwaarden. Welke gegevens het bureau vraagt, waarvoor en hoe lang het ze bewaart, staat in de privacyverklaring van het bureau; de link staat bij het sollicitatieformulier.

3. Welke gegevens wij verwerken

Van het bureau en zijn gebruikers

• Naam, e-mailadres, gebruikersnaam en de naam van het bureau.
• Het wachtwoord, alleen als onomkeerbare hash: wij kunnen het zelf niet lezen.
• Wat het bureau in Talentpull zet: werkgevers, merkgegevens zoals logo's, kleuren en bedrijfsfoto's, vacatures, campagnes, advertenties en formulieren.
• Gegevens over gebruik en beveiliging: wanneer je inlogt, mislukte inlogpogingen, en het IP-adres en de browser waarmee dat gebeurt.
• Berichten die je ons stuurt, via het supportformulier in de app of per e-mail.
• Bij een abonnement: bedrijfs- en factuurgegevens, waaronder het btw-nummer. De betaling verwerkt Stripe; wij zien zelf geen volledige kaart- of rekeningnummers. Van Stripe krijgen wij wel een code van de betaalkaart (niet het kaartnummer), zodat wij zien of een kaart al eerder voor een proefperiode is gebruikt.

Van Meta, als het bureau Facebook en Instagram koppelt

Het bureau koppelt Talentpull aan Meta met Facebook Login for Business en kiest daarbij zelf welke bedrijfsportfolio's, advertentieaccounts en pagina's Talentpull mag gebruiken. Wij krijgen dan van Meta:

• een toegangstoken, zodat Talentpull namens het bureau bij Meta kan werken. Wij bewaren het versleuteld;
• de naam en het nummer van de bedrijfsportfolio's, advertentieaccounts en Facebook-pagina's waar het bureau toegang toe geeft, met de profielfoto van die pagina's en het Instagram-account dat eraan hangt;
• de pixels (datasets) in die advertentieaccounts, en de valuta en het minimumbudget van een advertentieaccount;
• de resultaten van de campagnes in die advertentieaccounts, zoals bereik, klikken, kosten en aantallen sollicitaties. Dat zijn totalen, geen gegevens over personen;
• de sollicitaties die binnenkomen via een Meta-formulier (Instant Form) van een campagne die via Talentpull is gemaakt.

Wij vragen bij Meta niet het persoonlijke profiel, de vrienden of de berichten van een gebruiker op. Sollicitaties op campagnes die niet via Talentpull zijn gemaakt, bewaren wij niet; wij tellen alleen hoeveel het er zijn.

Van sollicitanten, namens het bureau

Via ons eigen sollicitatieformulier op solliciteren.talentpull.ai:

• wat de sollicitant zelf invult: meestal naam, e-mailadres en telefoonnummer, de antwoorden op de vragen van het bureau en eventueel een bestand zoals een cv;
• de vacature, het moment van solliciteren, en het vinkje waarmee de sollicitant akkoord ging, met het tijdstip en de versie van de tekst;
• de herkomst: via welke advertentie of link de sollicitant kwam (de klikcode van Meta en de campagnecodes in het adres);
• voor de melding aan Meta (zie Wat wij naar Meta sturen): het IP-adres en de browser waarmee de sollicitatie is verstuurd.

Via een Meta-formulier (Instant Form): de velden die de sollicitant in dat formulier verstuurt, met het nummer van de sollicitatie, het formulier, de advertentie en het tijdstip. Meta vult sommige velden vooraf in met gegevens uit het Facebook- of Instagram-profiel; de sollicitant ziet ze en kan ze aanpassen voordat hij verstuurt.

Het bureau voegt daar zelf gegevens aan toe, zoals de fase van de sollicitatie (bijvoorbeeld Nieuw, Gesprek, Aangenomen of Afgewezen) en notities.

Het bureau kan in een formulier uitsluitvragen instellen, bijvoorbeeld of iemand een rijbewijs heeft. Geeft een sollicitant een antwoord dat het bureau als uitsluitend heeft aangemerkt, dan zet Talentpull de sollicitatie automatisch in de fase Afgewezen, met een notitie welk antwoord dat was. De sollicitatie wordt niet weggegooid: het bureau ziet hem op het kandidatenbord en kan de sollicitant alsnog uitnodigen. Op ons eigen formulier ziet de sollicitant na het versturen meteen dat hij niet verder gaat.

De gegevens die een sollicitant invult (naam, telefoon, e-mail en antwoorden) sturen wij per mail naar de werkgever of het bureau dat de vacature plaatste. Een cv sturen we niet mee. Het bureau kan dit uitzetten.

Van bezoekers van talentpull.ai

De website plaatst geen cookies en laadt geen scripts, lettertypen of afbeeldingen van anderen, met één uitzondering: als je je aanmeldt voor early access, laadt de pagina de robotcontrole van Cloudflare (zie hieronder). Onze webserver houdt, zoals elke webserver, een logboek bij van verzoeken: IP-adres, tijdstip, de opgevraagde pagina en de browser. Dat gebruiken wij alleen om storingen en misbruik te onderzoeken.

Als je je aanmeldt voor early access

Op talentpull.ai/binnenkort kun je je e-mailadres achterlaten om te horen wanneer Talentpull opengaat. Wij bewaren dan je e-mailadres, de datum van je aanmelding en de pagina waarop je je aanmeldde. Wij gebruiken je e-mailadres alleen om je te laten weten wanneer Talentpull opengaat, en sturen je verder niets. Wij bewaren het tot wij je dat hebben laten weten, en hoogstens 12 maanden. Wil je het eerder kwijt, mail dan naar info@talentpull.ai; dan verwijderen wij het binnen 30 dagen. Om robots te weren doet Cloudflare Turnstile bij het versturen een controle op basis van je IP-adres en kenmerken van je browser (zie Met wie wij gegevens delen). Bij je e-mailadres bewaren wij geen IP-adres en geen gegevens over je browser.

4. Waarvoor, en op welke grondslag

• Talentpull leveren: het account, de omgeving van het bureau, de koppeling met Meta, het publiceren van campagnes en het binnenhalen van sollicitaties. Grondslag: uitvoering van de overeenkomst met het bureau.
• Ondersteuning geven, en het bureau informeren over de dienst, storingen, prijzen en voorwaarden. Grondslag: uitvoering van de overeenkomst.
• De dienst veilig houden en misbruik tegengaan, bijvoorbeeld door inlogpogingen te tellen en met de robotcontrole van Cloudflare bij het aanmelden. Grondslag: ons gerechtvaardigd belang bij een veilige dienst.
• Zorgen dat een bedrijf de gratis proefperiode één keer krijgt, door het btw-nummer en de code van de betaalkaart te vergelijken met eerdere aanmeldingen. Grondslag: ons gerechtvaardigd belang bij het tegengaan van misbruik van de proefperiode.
• Je laten weten wanneer Talentpull opengaat, als je je daarvoor aanmeldt op talentpull.ai. Grondslag: je toestemming, die je altijd kunt intrekken door ons te mailen.
• Onze administratie en belastingplicht. Grondslag: wettelijke verplichting.
• Gegevens van sollicitanten verwerken wij alleen in opdracht van het bureau, voor de werving waarop de sollicitant reageerde. De grondslag daarvoor bepaalt het bureau als verwerkingsverantwoordelijke.

Wat wij niet doen: wij verkopen en verhuren geen gegevens. Wij gebruiken gegevens die wij van Meta krijgen alleen voor wat hierboven staat, niet voor eigen reclame, en wij delen ze niet met datahandelaren of advertentienetwerken. Gegevens van sollicitanten gaan nooit naar een AI-dienst en worden niet gebruikt om AI-modellen te trainen.

5. Wat wij naar Meta sturen

Campagnes publiceren

Als het bureau een campagne publiceert, sturen wij de inhoud naar het advertentieaccount van het bureau of van de werkgever bij Meta: teksten, beelden (daarop kunnen medewerkers van de werkgever staan), het gebied, het budget en de vragen van het formulier. Daar zitten geen gegevens van sollicitanten in.

Meldingen van sollicitaties (Conversions API)

Om te meten welke advertentie sollicitaties oplevert, stuurt onze server meldingen naar Meta Platforms Ireland Ltd., via de Conversions API van Meta. Een melding gaat naar de dataset (pixel) van het bureau of de werkgever bij Meta, niet naar een dataset van ons. Dat gebeurt alleen:

• bij een sollicitatie via ons eigen sollicitatieformulier, niet bij een Meta-formulier;
• als de sollicitant bij het versturen het vinkje heeft aangezet waarmee hij akkoord gaat met de privacyverklaring van het bureau. Zonder dat vinkje kan het formulier niet worden verstuurd;
• als het bureau een pixel heeft gekozen en de meting voor die campagne niet heeft uitgezet;
• als de sollicitatie niet door een uitsluitvraag is afgewezen.

Er zijn drie soorten meldingen: bij de sollicitatie (Lead), als het bureau de sollicitant uitnodigt voor een gesprek (Schedule), en als het bureau de sollicitant aanneemt (SollicitatieAangenomen). Andere gebeurtenissen stuurt Talentpull niet naar Meta. Een melding bevat:

• een uniek kenmerk van de sollicitatie en het tijdstip;
• het e-mailadres en het telefoonnummer, gehasht met SHA-256: omgezet in een code die niet terug te rekenen is, zodat Meta ze alleen kan vergelijken met gegevens die Meta al heeft;
• de klikcode van de advertentie (fbclid), als de sollicitant via een advertentie kwam;
• alleen bij de sollicitatie zelf: het adres van het formulier, en het IP-adres en de browser waarmee de sollicitatie is verstuurd.

Namen, antwoorden, cv's en notities gaan niet naar Meta. Op onze formulieren en bedankpagina's staat geen pixel of ander script van Meta, en er worden geen cookies van Meta geplaatst. Het IP-adres en de browser bewaren wij versleuteld tot de melding is verstuurd, en daarna wissen wij ze.

Wij versturen deze meldingen in opdracht van het bureau. Wat Meta er daarna mee doet, valt onder de afspraken tussen het bureau en Meta (de Meta Business Tools-voorwaarden) en onder het privacybeleid van Meta.

Wil een sollicitant niet meer dat er meldingen over zijn sollicitatie naar Meta gaan, dan kan hij dat laten weten aan het bureau, of aan ons via info@talentpull.ai. Daarna gaan er geen nieuwe meldingen meer. Meldingen die al verstuurd zijn, kunnen wij bij Meta niet terughalen.

6. Met wie wij gegevens delen

Wij verkopen gegevens aan niemand. Wij delen ze alleen met de partijen hieronder. Die verwerken ze voor ons en mogen ze niet voor zichzelf gebruiken, behalve waar dat in hun rij staat (Stripe, Cloudflare en Meta). Gegevens van sollicitanten zijn alleen zichtbaar voor het bureau waar de sollicitatie bij hoort; bureaus zien elkaars sollicitanten nooit.

In de app laden afbeeldingen van Facebook-pagina's en advertenties rechtstreeks van de servers van Meta; Meta ziet daarbij het IP-adres en de browser van de gebruiker.

7. Gegevens buiten de Europese Unie

De app, de database en de back-ups staan in Duitsland. Gegevens gaan in drie gevallen buiten de EU:

• naar Postmark, Anthropic, Google, Stripe en Cloudflare in de Verenigde Staten, op basis van de standaardcontractbepalingen van de Europese Commissie in de verwerkersovereenkomsten van die diensten;
• doordat ons team vanuit de Verenigde Arabische Emiraten toegang heeft tot de app, voor beheer en ondersteuning. Voor dat land bestaat geen adequaatheidsbesluit van de Europese Commissie. Wij baseren die toegang op de standaardcontractbepalingen, die deel uitmaken van de verwerkersovereenkomst met het bureau;
• doordat Meta de meldingen en campagnes ontvangt, en ze volgens zijn eigen voorwaarden ook in de Verenigde Staten verwerkt, op basis van het EU-VS Data Privacy Framework.

Niemand van ons kijkt in de omgeving van een bureau zonder dat het bureau daarom vraagt. Toegang tot de productieomgeving hebben alleen de mensen die het nodig hebben, en elke keer dat wij in de omgeving van een bureau meekijken, wordt vastgelegd.

8. Hoe lang wij gegevens bewaren

• Sollicitanten: het bureau kiest per werkgever een bewaartermijn van 1 dag tot 12 maanden na het laatste contact met de sollicitant. Kiest het niets, dan is het 12 maanden. Staat een sollicitant in de fase Gesprek, dan loopt de termijn niet door. Wordt iemand aangenomen, dan is de termijn minstens 3 maanden, zodat het bureau de gegevens kan overzetten. Het bureau kan een sollicitant op elk moment zelf verwijderen.
• Het automatisch verwijderen staat nog niet aan. Talentpull houdt de termijn bij, maar verwijdert sollicitanten aan het einde ervan nog niet vanzelf. Tot dat zo is, verwijdert het bureau ze zelf in Talentpull, of verwijderen wij ze op verzoek van het bureau. Zodra het automatisch verwijderen aanstaat, passen wij deze verklaring aan.
• Sollicitaties die bij binnenkomst niet verwerkt konden worden, bijvoorbeeld omdat een koppeling even niet werkte, verwijderen wij nooit automatisch. Ze blijven staan tot het bureau of wij ze hebben opgelost of verwijderd; wij krijgen er elke week een herinnering over.
• Account en omgeving van het bureau: zolang het abonnement loopt, en daarna nog 60 dagen, zodat het bureau na het inloggen zijn sollicitanten en hun bestanden kan downloaden. Daarna verwijderen wij ze, met de sollicitanten.
• De koppeling met Meta: tot het bureau hem verbreekt. Dan wissen wij het toegangstoken en de lijst met bedrijfsportfolio's, advertentieaccounts en pagina's. Campagnes en sollicitanten blijven bij het bureau staan tot ze worden verwijderd.
• IP-adres en browser voor de melding aan Meta: tot de melding is verstuurd; daarna wissen wij ze.
• Early access: je e-mailadres tot wij je hebben laten weten dat Talentpull opengaat, en hoogstens 12 maanden. Daarna verwijderen wij het.
• Beveiligingslogboeken en het logboek van de webserver: hoogstens 12 maanden. Drie logboeken blijven een jaar (365 dagen): het spoor van ingrepen (welk account wat aanmaakte, wijzigde of verwijderde, met het IP-adres; van een verwijderde sollicitant alleen de voornaam en de eerste letter van de achternaam), de activiteit per klant (zoals inlogpogingen en foutmeldingen, met het account en het IP-adres), en de meldingen van Postmark over mail die niet aankwam of als spam werd gemeld (met het e-mailadres). Het maillogboek (naar wie een mail ging, wanneer en of hij aankwam) bewaren wij 90 dagen.
• Facturen en administratie: 7 jaar, omdat de wet dat voorschrijft.
• Btw-nummer en een code van de betaalkaart (niet het kaartnummer) van een verwijderd bureau: 2 jaar na het verwijderen, zonder naam of adres. Zo voorkomen wij misbruik van de gratis proefperiode: hetzelfde bedrijf krijgt geen tweede. Het btw-nummer bewaren wij als versleutelde code die we alleen zelf kunnen vergelijken; de code van de betaalkaart komt van Stripe. Daarna verwijderen wij ze automatisch.
• Back-ups: er wordt elke dag een back-up gemaakt, die 28 dagen bewaard blijft. Wat is verwijderd, verdwijnt dus binnen 35 dagen ook uit de back-ups.

Gegevens die wij van Meta krijgen, bewaren wij niet langer dan nodig is voor het doel waarvoor wij ze kregen.

9. Gegevens laten verwijderen

In English: How to delete your data.

Als sollicitant

Je gegevens horen bij het bureau waarop je reageerde. Je kunt op twee manieren vragen om ze te verwijderen:

• bij het bureau zelf, via de contactgegevens in de privacyverklaring die bij het formulier stond;
• bij ons, via info@talentpull.ai. Noem je naam, het e-mailadres of telefoonnummer waarmee je solliciteerde, en de vacature of het bureau.

Mail je ons, dan sturen wij je verzoek binnen twee werkdagen door aan het bureau, en verwijderen wij je gegevens uit Talentpull, tenzij het bureau ze volgens de wet moet bewaren. Dan laten wij je dat weten. Je krijgt binnen 30 dagen een bevestiging. Wat Meta zelf van een Meta-formulier bewaart, valt onder het privacybeleid van Meta.

Als bureau of gebruiker

• De koppeling met Meta verbreken: in Talentpull via Instellingen, Meta-koppeling. Wij wissen dan meteen het toegangstoken en de lijst met bedrijfsportfolio's, advertentieaccounts en pagina's.
• Talentpull weghalen bij Facebook: op Facebook via Instellingen en privacy, Instellingen, Bedrijfsintegraties; kies Talentpull en verwijder het. Is de koppeling via een bedrijfsportfolio gemaakt, dan gaat het via Bedrijfsinstellingen, Integraties, Verbonden apps. Meta laat ons dat niet vanzelf weten: mail ons als je wilt dat wij ook je gegevens verwijderen.
• Het account en alle gegevens laten verwijderen: mail info@talentpull.ai vanaf het e-mailadres van het account. Wij verwijderen het account, de omgeving met de sollicitanten en de gegevens die wij van Meta kregen binnen 30 dagen, en bevestigen dat per e-mail. Facturen bewaren wij zolang de wet dat eist. Het btw-nummer en de code van de betaalkaart bewaren wij daarna nog 2 jaar, zonder naam of adres, zoals onder Hoe lang wij gegevens bewaren staat.

Na verwijdering staan gegevens hoogstens nog 35 dagen in een back-up; daarna zijn ze ook daar verdwenen.

10. Je rechten

Je hebt het recht om je gegevens in te zien, te laten corrigeren of te laten verwijderen, de verwerking te laten beperken, bezwaar te maken en je gegevens in een bruikbaar bestand te krijgen. Heb je ergens toestemming voor gegeven, dan kun je die altijd intrekken.

Stuur je verzoek naar info@talentpull.ai. Wij reageren binnen 30 dagen. Gaat het om je gegevens als sollicitant, dan is het bureau verantwoordelijk; wij helpen het bureau je verzoek af te handelen, zoals onder Gegevens laten verwijderen staat.

Ben je het niet eens met hoe wij met je gegevens omgaan, dan kun je een klacht indienen bij de toezichthouder in het EU-land waar je woont of werkt. In Nederland is dat de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

11. Beveiliging

• Alle verkeer met de website, de app en de formulieren loopt over een versleutelde verbinding (HTTPS).
• Wachtwoorden bewaren wij alleen als onomkeerbare hash. Bij een nieuw wachtwoord kijken wij bij de dienst Have I Been Pwned of het in bekende datalekken voorkomt; daarbij gaan alleen de eerste vijf tekens van een hash van het wachtwoord mee, nooit het wachtwoord zelf of een e-mailadres.
• Toegangstokens van Meta bewaren wij versleuteld, alleen op de server. Ze komen nooit in de browser.
• Een bureau ziet alleen zijn eigen gegevens. Toegang tot de productieomgeving hebben alleen de mensen die het nodig hebben.
• De ontwikkel- en testomgevingen staan los van productie en krijgen alleen een geanonimiseerde kopie, waarin namen, e-mailadressen en telefoonnummers zijn vervangen.

Ontdekken wij een datalek dat gegevens van een bureau of van zijn sollicitanten raakt, dan melden wij dat binnen 48 uur aan het bureau, met wat wij op dat moment weten en wat wij eraan doen.

12. Cookies

De website talentpull.ai plaatst zelf geen cookies. De app gebruikt alleen functionele cookies: een cookie dat je ingelogd houdt en een cookie dat je taalkeuze onthoudt. Ze meten niets en worden niet gedeeld.

Op een paar pagina's laadt een script van een andere partij, die daar zelf cookies of vergelijkbare technieken kan gebruiken:

• Op de betaalpagina's van de app (het afrekenscherm bij het aanmelden en de pagina waar je je abonnement betaalt) laadt Stripe.js, het script van Stripe voor de kaartvelden. Stripe zet daar eigen cookies om fraude tegen te gaan. Daarvoor is Stripe zelf verantwoordelijk; zie het privacybeleid van Stripe.
• Op het afrekenscherm bij het aanmelden en bij het early-access-formulier op talentpull.ai laadt de robotcontrole van Cloudflare (Turnstile). Wij zetten daar zelf geen cookies. Turnstile kijkt naar het IP-adres en kenmerken van de browser. Cloudflare gebruikt die volgens zijn eigen verklaring alleen om robots te herkennen en zijn robotcontrole te verbeteren, niet om mensen te identificeren, te profileren of gericht te benaderen.

Op de sollicitatieformulieren en bedankpagina's staan geen cookies of scripts van Meta, Google of andere advertentie- of statistiekdiensten.

13. Wijzigingen

Wij passen deze verklaring aan als Talentpull verandert. De nieuwste versie staat altijd op talentpull.ai/privacy, met de datum bovenaan. Gaat een wijziging over wat wij met gegevens doen, dan laten wij het bureau dat vooraf per e-mail weten.

14. Contact

HIREON MARKETING FZ, handelend onder de naam Talentpull
Dubai Digital Park, Building A1, Dubai Silicon Oasis, Dubai, Verenigde Arabische Emiraten
E-mail: info@talentpull.ai
Telefoon: +971 52 595 5709

Privacy policy (English)

Last updated: 20 October 2026. Nederlandse versie

This privacy policy explains which personal data Talentpull processes, for what purposes, with whom we share it, how long we keep it and how you can have it deleted. It applies to the website talentpull.ai, the app at app.talentpull.ai (formerly ads.debanenbank.nl), the application forms at solliciteren.talentpull.ai and the connection with Meta's Facebook and Instagram.

In short: we only use data to make Talentpull work, we do not sell it to anyone, the app and the database are hosted in Germany, and you can always have your data deleted. How to do that is explained under How to delete your data.

1. Who we are

Talentpull is the trade name of HIREON MARKETING FZ, located at Dubai Digital Park, Building A1, Dubai Silicon Oasis, Dubai, United Arab Emirates. You can reach us at info@talentpull.ai or on +971 52 595 5709.

We are established outside the European Union, but we offer Talentpull in the EU. The General Data Protection Regulation (GDPR) therefore applies to us, and this policy is written accordingly.

2. Two roles

Talentpull is used by recruitment agencies and employers that recruit on Facebook and Instagram. In this policy we call them "the agency".

• For the data of the agency and its users we are the controller. We decide ourselves why and how we process it.
• For the data of applicants the agency is the controller and we are the processor. We only process that data on the instructions of the agency, under the data processing agreement with the agency, an annex to the terms and conditions. Which data the agency asks for, for what purpose and how long it keeps it, is set out in the agency's own privacy policy; the link is shown with the application form.

3. What data we process

From the agency and its users

• Name, email address, username and the name of the agency.
• The password, only as an irreversible hash: we cannot read it ourselves.
• What the agency puts into Talentpull: employers, brand assets such as logos, colours and company photos, vacancies, campaigns, ads and forms.
• Usage and security data: when you log in, failed login attempts, and the IP address and browser used.
• Messages you send us, through the support form in the app or by email.
• With a subscription: company and billing details, including the VAT number. Payments are processed by Stripe; we never see full card or account numbers ourselves. Stripe does give us a code for the payment card (not the card number), so that we can see whether a card has already been used for a trial.

From Meta, when the agency connects Facebook and Instagram

The agency connects Talentpull to Meta with Facebook Login for Business and chooses which business portfolios, ad accounts and Pages Talentpull may use. We then receive from Meta:

• an access token, so that Talentpull can work with Meta on behalf of the agency. We store it encrypted;
• the name and ID of the business portfolios, ad accounts and Facebook Pages the agency grants access to, with the profile picture of those Pages and the Instagram account linked to them;
• the pixels (datasets) in those ad accounts, and the currency and minimum budget of an ad account;
• the results of the campaigns in those ad accounts, such as reach, clicks, costs and numbers of applications. These are totals, not data about individuals;
• the applications submitted through a Meta form (Instant Form) of a campaign created through Talentpull.

We do not request a user's personal profile, friends or messages from Meta. We do not store applications for campaigns that were not created through Talentpull; we only count how many there are.

From applicants, on behalf of the agency

Through our own application form at solliciteren.talentpull.ai:

• what the applicant fills in: usually name, email address and phone number, the answers to the agency's questions and possibly a file such as a CV;
• the vacancy, the time of applying, and the checkbox with which the applicant agreed, with the time and the version of the text;
• the origin: which ad or link the applicant came from (Meta's click ID and the campaign codes in the address);
• for the event sent to Meta (see What we send to Meta): the IP address and the browser used to submit the application.

Through a Meta form (Instant Form): the fields the applicant submits in that form, with the ID of the application, the form, the ad and the time. Meta prefills some fields with data from the Facebook or Instagram profile; the applicant sees them and can change them before submitting.

The agency adds data itself, such as the stage of the application (for example New, Interview, Hired or Rejected) and notes.

The agency can set knock-out questions in a form, for example whether someone has a driving licence. If an applicant gives an answer the agency has marked as excluding, Talentpull automatically moves the application to the Rejected stage, with a note of which answer that was. The application is not thrown away: the agency sees it on the candidate board and can still invite the applicant. On our own form, the applicant sees right after submitting that they will not continue.

We email the details an applicant fills in (name, phone, email and answers) to the employer or agency that posted the vacancy. We do not include a CV. The agency can turn this off.

From visitors of talentpull.ai

The website sets no cookies and loads no scripts, fonts or images from others, with one exception: when you sign up for early access, the page loads Cloudflare's robot check (see below). Like any web server, ours keeps a log of requests: IP address, time, the page requested and the browser. We only use it to investigate outages and abuse.

If you sign up for early access

On talentpull.ai/binnenkort you can leave your email address to hear when Talentpull opens. We then keep your email address, the date you signed up and the page you signed up on. We only use your email address to let you know when Talentpull opens, and send you nothing else. We keep it until we have let you know, and for at most 12 months. If you want it removed sooner, email info@talentpull.ai; we will then delete it within 30 days. To keep out robots, Cloudflare Turnstile runs a check when you send the form, based on your IP address and characteristics of your browser (see Who we share data with). We do not store an IP address or any details about your browser with your email address.

4. Purposes and legal bases

• Providing Talentpull: the account, the agency's workspace, the connection with Meta, publishing campaigns and collecting applications. Legal basis: performance of the contract with the agency.
• Providing support, and informing the agency about the service, outages, prices and terms. Legal basis: performance of the contract.
• Keeping the service secure and preventing abuse, for example by counting login attempts and with Cloudflare's robot check when signing up. Legal basis: our legitimate interest in a secure service.
• Making sure a company gets the free trial only once, by comparing the VAT number and the code for the payment card with earlier sign-ups. Legal basis: our legitimate interest in preventing misuse of the trial.
• Letting you know when Talentpull opens, if you sign up for that on talentpull.ai. Legal basis: your consent, which you can withdraw at any time by emailing us.
• Our accounting and tax obligations. Legal basis: legal obligation.
• We process applicant data only on the instructions of the agency, for the recruitment the applicant responded to. The legal basis is determined by the agency as the controller.

What we do not do: we do not sell or rent out data. We use data we receive from Meta only for what is described above, not for our own advertising, and we do not share it with data brokers or ad networks. Applicant data never goes to an AI service and is not used to train AI models.

5. What we send to Meta

Publishing campaigns

When the agency publishes a campaign, we send its content to the ad account of the agency or the employer at Meta: texts, images (which may show the employer's staff), the area, the budget and the questions of the form. This contains no applicant data.

Application events (Conversions API)

To measure which ad produces applications, our server sends events to Meta Platforms Ireland Ltd. through Meta's Conversions API. An event goes to the dataset (pixel) of the agency or the employer at Meta, not to a dataset of ours. This only happens:

• for an application through our own application form, not through a Meta form;
• if the applicant ticked the checkbox when submitting, agreeing to the agency's privacy policy. The form cannot be submitted without that checkbox;
• if the agency has chosen a pixel and has not switched off measurement for that campaign;
• if the application was not rejected by a knock-out question.

There are three kinds of events: at the application (Lead), when the agency invites the applicant for an interview (Schedule), and when the agency hires the applicant (SollicitatieAangenomen). Talentpull sends no other events to Meta. An event contains:

• a unique reference for the application and the time;
• the email address and phone number, hashed with SHA-256: converted into a code that cannot be reversed, so that Meta can only compare them with data Meta already holds;
• the ad's click ID (fbclid), if the applicant came through an ad;
• only for the application itself: the address of the form, and the IP address and browser used to submit the application.

Names, answers, CVs and notes are not sent to Meta. Our forms and thank-you pages contain no Meta pixel or other Meta script, and no Meta cookies are set. We store the IP address and browser encrypted until the event has been sent, and then delete them.

We send these events on the instructions of the agency. What Meta does with them afterwards is governed by the agreements between the agency and Meta (the Meta Business Tools Terms) and by Meta's privacy policy.

If an applicant no longer wants events about their application to be sent to Meta, they can tell the agency, or us at info@talentpull.ai. After that, no new events are sent. Events that have already been sent cannot be recalled from Meta by us.

6. Who we share data with

We sell data to no one. We only share it with the parties below. They process it for us and may not use it for themselves, except where their row says so (Stripe, Cloudflare and Meta). Applicant data is only visible to the agency the application belongs to; agencies never see each other's applicants.

In the app, images of Facebook Pages and ads load directly from Meta's servers; Meta sees the user's IP address and browser.

7. Data outside the European Union

The app, the database and the backups are in Germany. Data leaves the EU in three cases:

• to Postmark, Anthropic, Google, Stripe and Cloudflare in the United States, on the basis of the European Commission's standard contractual clauses in those services' data processing agreements;
• because our team has access to the app from the United Arab Emirates, for administration and support. There is no adequacy decision of the European Commission for that country. We base that access on the standard contractual clauses, which form part of the data processing agreement with the agency;
• because Meta receives the events and campaigns, and also processes them in the United States under its own terms, on the basis of the EU-U.S. Data Privacy Framework.

None of us looks into an agency's workspace unless the agency asks us to. Only the people who need it have access to the production environment, and every time we look into an agency's workspace, it is logged.

8. How long we keep data

• Applicants: for each employer, the agency chooses a retention period from 1 day to 12 months after the last contact with the applicant. If it chooses nothing, it is 12 months. While an applicant is in the Interview stage, the period does not run. When someone is hired, the period is at least 3 months, so that the agency can transfer the data. The agency can delete an applicant itself at any time.
• Automatic deletion is not switched on yet. Talentpull keeps track of the period, but does not yet delete applicants by itself when it ends. Until it does, the agency deletes them itself in Talentpull, or we delete them at the agency's request. As soon as automatic deletion is switched on, we will update this policy.
• Applications that could not be processed on arrival, for example because a connection was briefly down, are never deleted automatically. They remain until the agency or we have resolved or deleted them; we receive a weekly reminder about them.
• The agency's account and workspace: for as long as the subscription runs, and 60 days after that, so that the agency can log in and download its applicants and their files. After that we delete them, together with the applicants.
• The connection with Meta: until the agency disconnects it. We then delete the access token and the list of business portfolios, ad accounts and Pages. Campaigns and applicants remain with the agency until they are deleted.
• IP address and browser for the event sent to Meta: until the event has been sent; then we delete them.
• Early access: your email address until we have let you know that Talentpull is opening, and for at most 12 months. After that we delete it.
• Security logs and the web server log: at most 12 months. Three logs are kept for a year (365 days): the trail of actions (which account created, changed or deleted what, with the IP address; for a deleted applicant only the first name and the first letter of the surname), the activity per client (such as login attempts and error messages, with the account and the IP address), and Postmark's notices about email that was not delivered or was reported as spam (with the email address). We keep the mail log (who an email went to, when and whether it was delivered) for 90 days.
• Invoices and accounting records: 7 years, because the law requires it.
• VAT number and a code for the payment card (not the card number) of a deleted agency: 2 years after the deletion, without a name or address. This prevents misuse of the free trial: the same company does not get a second one. We keep the VAT number as an encrypted code that only we can compare; the code for the payment card comes from Stripe. After that we delete them automatically.
• Backups: a backup is made every day and kept for 28 days. Anything deleted therefore also disappears from the backups within 35 days.

We do not keep data we receive from Meta for longer than necessary for the purpose for which we received it.

9. How to delete your data

In het Nederlands: Gegevens laten verwijderen.

As an applicant

Your data belongs to the agency you responded to. You can ask for it to be deleted in two ways:

• with the agency itself, using the contact details in the privacy policy shown with the form;
• with us, at info@talentpull.ai. State your name, the email address or phone number you applied with, and the vacancy or the agency.

If you email us, we forward your request to the agency within two working days and delete your data from Talentpull, unless the agency is required by law to keep it. In that case we will tell you. You will receive a confirmation within 30 days. What Meta itself keeps from a Meta form is governed by Meta's privacy policy.

As an agency or user

• Disconnect Meta: in Talentpull under Settings, Meta connection. We then immediately delete the access token and the list of business portfolios, ad accounts and Pages.
• Remove Talentpull on Facebook: on Facebook go to Settings and privacy, Settings, Business integrations; select Talentpull and remove it. If the connection was made through a business portfolio, go to Business settings, Integrations, Connected apps. Meta does not notify us of this automatically: email us if you also want us to delete your data.
• Delete the account and all data: email info@talentpull.ai from the account's email address. We delete the account, the workspace with its applicants and the data we received from Meta within 30 days, and confirm this by email. We keep invoices for as long as the law requires. We keep the VAT number and the code for the payment card for 2 more years after that, without a name or address, as described under How long we keep data.

After deletion, data remains in a backup for at most 35 days; after that it is gone there too.

10. Your rights

You have the right to access your data, to have it corrected or deleted, to restrict processing, to object and to receive your data in a usable file. If you have given consent for something, you can always withdraw it.

Send your request to info@talentpull.ai. We respond within 30 days. If it concerns your data as an applicant, the agency is responsible; we help the agency handle your request, as described under How to delete your data.

If you disagree with how we handle your data, you can file a complaint with the supervisory authority in the EU country where you live or work. In the Netherlands that is the Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

11. Security

• All traffic with the website, the app and the forms uses an encrypted connection (HTTPS).
• We store passwords only as an irreversible hash. For a new password we check with the Have I Been Pwned service whether it appears in known data breaches; only the first five characters of a hash of the password are sent, never the password itself or an email address.
• We store Meta access tokens encrypted, on the server only. They never reach the browser.
• An agency only sees its own data. Only the people who need it have access to the production environment.
• The development and test environments are separate from production and only receive an anonymised copy, in which names, email addresses and phone numbers have been replaced.

If we discover a data breach affecting the data of an agency or its applicants, we report it to the agency within 48 hours, with what we know at that moment and what we are doing about it.

12. Cookies

The website talentpull.ai sets no cookies itself. The app only uses functional cookies: one that keeps you logged in and one that remembers your language choice. They measure nothing and are not shared.

On a few pages a script from another party loads, which may use its own cookies or similar technologies there:

• On the payment pages of the app (the checkout screen when signing up and the page where you pay for your subscription), Stripe.js loads: Stripe's script for the card fields. Stripe sets its own cookies there to prevent fraud. Stripe itself is responsible for that; see Stripe's privacy policy.
• On the checkout screen when signing up and on the early access form on talentpull.ai, Cloudflare's robot check (Turnstile) loads. We set no cookies there ourselves. Turnstile looks at the IP address and characteristics of the browser. According to its own statement, Cloudflare only uses these to recognise robots and to improve its robot check, not to identify, profile or target individuals.

The application forms and thank-you pages contain no cookies or scripts from Meta, Google or other advertising or analytics services.

13. Changes

We update this policy when Talentpull changes. The latest version is always at talentpull.ai/privacy, with the date at the top. If a change concerns what we do with data, we inform the agency by email in advance.

14. Contact

HIREON MARKETING FZ, trading as Talentpull
Dubai Digital Park, Building A1, Dubai Silicon Oasis, Dubai, United Arab Emirates
Email: info@talentpull.ai
Phone: +971 52 595 5709