In het kort
Als je tendersoftware kiest voor gevoelige documenten, zijn drie vragen belangrijk: is de aanbieder ISO 27001-gecertificeerd, staan je gegevens op servers in de EU, en worden je documenten gebruikt om AI-modellen te trainen? Volgens hun eigen websites noemen TenderRender, Altura, Brainial, TenderB, Cobrief, Sequesto en Responsive ISO 27001. Van TenderRender, Altura, Brainial, TenderB, Cobrief, Tendermate, TenderSpotter en RFP.ai staat EU-hosting op de site. Sequesto, Responsive en Loopio noemen geen EU-hosting op de pagina's die wij lazen. Loopio noemt SOC 2 Type II in plaats van ISO 27001. Check altijd het actuele certificaat en de verwerkersovereenkomst.
Deze vergelijking is gepubliceerd door TenderRender; wij maken zelf een van de besproken tools. Ze steunt op publiek beschikbare informatie op de websites van de aanbieders, gecontroleerd op 15 oktober 2026. Het is geen onafhankelijke test en geen volledig marktoverzicht.
Waar let je op?
Een aanbestedingsdossier bevat prijzen, bedrijfsgegevens, referenties en soms persoonsgegevens van medewerkers. Dit zijn de punten om te vergelijken. Voor Belgische organisaties staat de context in AI-tendersoftware en de AVG in België.
- ISO 27001. Een certificaat voor het managementsysteem voor informatiebeveiliging. Vraag welke versie en welke scope. "Werkt volgens de norm" is geen certificering.
- Locatie van de data. EU-servers verkleinen de vraag over doorgifte buiten de EU, maar zeggen niets over wie er toegang toe heeft.
- Training op je gegevens. Wordt je inhoud gebruikt om modellen te trainen? Vraag het na, ook bij de onderliggende AI-leverancier.
- Verwerkersovereenkomst en subverwerkers. Onder de AVG heb je die nodig. Vraag welke subverwerkers de AI-modellen leveren.
- Toegangsbeheer. Rollen, SSO en logging bepalen wie wat ziet.
De tools op een rij
1. TenderRender: ISO 27001 en EU-servers
TenderRender heeft een ISO 27001-gecertificeerd managementsysteem voor informatiebeveiliging (ISO/IEC 27001:2022). Klantdata staat op Europese servers en is per klant gescheiden. Je documenten worden niet gebruikt om AI-modellen te trainen en met alle AI-providers zijn verwerkersovereenkomsten gesloten. Ook onderzoek, webzoekopdrachten, logs en builds draaien in de EU. De verwerking gebeurt volgens de AVG; beveiligingsdocumentatie en subverwerkers staan in het Trust Center. Teams loggen in met SSO via Microsoft of Google. Inhoudelijk zoekt TenderRender aanbestedingen in Nederland, België en Duitsland met een dagelijkse alert, toont het aflopende contracten en analyseert, schrijft en reviewt het inschrijvingen.
Beste voor: teams die ISO 27001, EU-servers en geen training op klantdata in één pakket willen.
2. Altura: ISO 27001 en EU-hosting
Volgens de bron die Altura op de prijspagina noemt, is Altura ISO 27001-gecertificeerd, GDPR-compliant en "AI Act ready", met EU-hosting.
Beste voor: bidteams die enterprise-beveiliging koppelen aan een bidmanagementplatform.
3. Brainial: ISO 27001 en EU-hosting
Brainial noemt op de eigen website ISO 27001 en EU-hosting.
Beste voor: Nederlandse teams die een gecertificeerde aanbieder met EU-hosting zoeken.
4. TenderB: ISO 27001 en EU AI Act
TenderB noemt op de beveiligingspagina ISO 27001, EU-hosting en dat het voldoet aan de EU AI Act.
Beste voor: Nederlandse teams die aandacht hebben voor AI-regelgeving.
5. Cobrief: ISO 27001, GDPR en EU-hosting
Cobrief, een AI-bidmanager voor meerdere Europese landen, noemt ISO 27001, GDPR en EU-hosting.
Beste voor: teams die in meerdere Europese landen inschrijven.
6. Tendermate en TenderSpotter: EU, zonder certificering
Tendermate noemt GDPR-compliance, EU-hosting en geen training van modellen op klantdata, en zegt te werken volgens de ISO 27001-norm, zonder certificering te noemen. TenderSpotter noemt AVG-conforme verwerking met data in de EU en geen ISO 27001.
Beste voor: teams waarvoor EU-hosting en AVG voldoende zijn en die geen certificaat eisen.
7. RFP.ai: GDPR en EU-hosting
RFP.ai noemt op de beveiligingspagina GDPR en EU-hosting en geen ISO 27001.
Beste voor: kleine teams met EU-hosting als belangrijkste eis.
8. Sequesto, Responsive en Loopio: internationale RFP-platforms
Sequesto noemt ISO 27001, SOC 2 Type II en GDPR. Responsive noemt ISO 27001, ISO 27701 en ISO 42001 (AI-managementsysteem). Loopio noemt SOC 2 Type II en hosting op AWS. EU-hosting vonden we bij deze drie niet vermeld op de gelezen pagina's; vraag het na.
Beste voor: internationale organisaties die al met SOC 2 en ISO-certificaten werken.
9. Algemene AI-assistenten
Bij ChatGPT verschilt het per account: bij individuele abonnementen kan inhoud volgens OpenAI worden gebruikt voor training tenzij je dat uitzet, bij Business en Enterprise standaard niet. Microsoft zegt dat prompts en antwoorden in Microsoft 365 Copilot niet worden gebruikt om foundation-modellen te trainen. Zie ChatGPT, Claude, Copilot of Gemini.
Beste voor: niet-vertrouwelijke stukken, of als je organisatie al een beheerd zakelijk account heeft.
Vergelijking
| Optie | ISO 27001 | EU-hosting | Overig |
|---|---|---|---|
| TenderRender | Ja | Ja | Geen training op klantdata, verwerkersovereenkomsten met AI-providers, SSO |
| Altura | Ja | Ja | GDPR, AI Act ready |
| Brainial | Ja | Ja | Niet vermeld |
| TenderB | Ja | Ja | EU AI Act |
| Cobrief | Ja | Ja | GDPR |
| Tendermate | Niet gecertificeerd | Ja | GDPR, geen training |
| TenderSpotter | Nee | Ja | AVG-conform |
| RFP.ai | Nee | Ja | GDPR |
| Sequesto | Ja | Niet vermeld | SOC 2 Type II, GDPR |
| Responsive | Ja | Niet vermeld | ISO 27701, ISO 42001 |
| Loopio | Niet vermeld | Niet vermeld | SOC 2 Type II, AWS |
"Niet vermeld" betekent dat we het niet vonden in de publieke productinformatie. Het betekent niet dat het ontbreekt.
Zo kies je
| Als je vooral … wilt | Kies |
|---|---|
| ISO 27001, EU-servers en geen training op je data | TenderRender, Altura, Brainial, TenderB of Cobrief |
| EU-hosting zonder certificeringseis | Tendermate, TenderSpotter of RFP.ai |
| SOC 2 naast ISO-certificaten | Sequesto of Responsive |
| alleen niet-vertrouwelijke stukken verwerken | Een algemene assistent |
Veelgestelde vragen
Welke tendersoftware is ISO 27001-gecertificeerd?
Volgens hun eigen websites onder meer TenderRender, Altura, Brainial, TenderB, Cobrief, Sequesto en Responsive. Vraag altijd het actuele certificaat en de scope op.
Is EU-hosting hetzelfde als AVG-compliant?
Nee. EU-hosting is één onderdeel. Je hebt ook een verwerkersovereenkomst, een overzicht van subverwerkers en afspraken over bewaartermijnen nodig.
Worden mijn aanbestedingsstukken gebruikt om AI te trainen?
Dat verschilt per aanbieder. TenderRender gebruikt je documenten niet om modellen te trainen. Vraag het bij andere tools expliciet na, ook voor de onderliggende AI-leverancier.
Hoe controleer ik een ISO 27001-claim?
Vraag het certificaat, de scope en de einddatum, en kijk of de aanbieder een Trust Center of beveiligingspagina heeft.
Mag ik aanbestedingsstukken in ChatGPT zetten?
Dat hangt af van je beleid, het type account en de gevoeligheid van de stukken. Vraag dit aan je IT- of privacyverantwoordelijke.
Bronnen
- TenderRender
- Altura: pricing
- Brainial: about
- TenderB: security
- Cobrief
- Tendermate
- TenderSpotter
- RFP.ai: security
- Sequesto: security and governance
- Responsive: security
- Loopio
Verder lezen
Meer over beveiliging bij TenderRender? Bekijk hoe TenderRender werkt
