Dataresidentie: waar staan je gegevens?

Verklaring

Je gegevens en back-ups staan in Duitsland, in een Hetzner-datacenter in Falkenstein. Noveu Solutions is een Nederlandse onderneming (eenmanszaak) onder Nederlands recht. Cloudflare is de enige sub-verwerker met een Amerikaanse vestiging; voor die partij gelden het EU-VS Data Privacy Framework en SCC's. De AI-verwerker is sinds 29 augustus 2026 Mistral AI SAS (Frans bedrijf; volgens Mistral standaard in de EU). Het actuele overzicht staat op /juridisch/sub-verwerkers.

Scope

Deze verklaring gaat over de plaats waar we klantdata opslaan:

e-mail, bestanden, documenten en identiteitsgegevens
back-ups
logbestanden en auditlogs

Verkeer onderweg loopt via het edge-netwerk van Cloudflare; zie Edge / DDoS / CDN hieronder.

Datacenter Locaties

Primair Datacenter

Aspect	Details
Locatie	Falkenstein, Duitsland (gegevens en back-ups)
Operator	Hetzner Online GmbH
Beveiliging terrein	Omheind terrein met camerabewaking en elektronische toegangscontrole, volgens de datacenterbeschrijving van Hetzner, geraadpleegd 28-09-2026
Certificeringen	Hetzner is voor infrastructuur en bedrijfsvoering van zijn datacenterparken gecertificeerd volgens ISO/IEC 27001:2022, volgens de certificering van Hetzner, geraadpleegd 28-09-2026
Eigendom	Europees (Duitse GmbH)

Edge / DDoS / CDN

Aspect	Details
Operator	Cloudflare, Inc. (VS)
Rol	DNS, CDN, DDoS-bescherming en TLS aan de rand van het netwerk; de inhoud van het verkeer is voor Cloudflare zichtbaar tijdens de edge-verwerking
Locatie	Wereldwijd edge-netwerk; een verbinding kan op een locatie buiten de EU uitkomen
Jurisdictie waarborgen	EU-VS DPF + SCC's + Cloudflare DPA

Juridische Afscherming

Jurisdictie van de hoofdverwerker

Noveu Solutions:

Is een Nederlandse onderneming (eenmanszaak, ingeschreven bij de Kamer van Koophandel onder nummer 42030979)

Erkende sub-verwerkers met US-nexus

Voor randdiensten gebruiken wij wel een sub-verwerker met US-nexus. Deze staat transparant op /juridisch/sub-verwerkers en werkt onder EU-VS DPF + SCC's + DPA:

Cloudflare, Inc., edge, DDoS, CDN, DNS. Cloudflare beëindigt TLS aan de edge en verwerkt verkeer en metadata in transit; payload-inhoud is voor Cloudflare zichtbaar tijdens de edge-verwerking. Persistente klantdata blijft opgeslagen bij Hetzner, in Falkenstein (Duitsland). Back-ups worden versleuteld opgeslagen.

Sinds 29 augustus 2026 is Cloudflare de enige sub-verwerker met US-nexus. De AI-verwerker was tot die datum Google LLC (Gemini API, VS) en is nu een EU-partij.

AI-verwerker (EU)

Mistral AI SAS (Frans bedrijf; volgens Mistral standaard in de EU), voor de tekst van alle AI-functies (LLM-tekstgeneratie). Naar Mistral gaan bij de assistent je vraag, tot vijf eerdere beurten, de gevonden passages met hun bronadres en wat de assistent voor je opzoekt, zoals mails, tickets en facturen; bij de mailhulp afzender, onderwerp en tekst van de mail. Mistral zegt zelf dat data standaard in de EU blijft, maar per functie tijdelijk naar sub-verwerkers van Mistral kan gaan. De embeddings (vectorisatie) en de vector-store draaien op onze eigen infrastructuur in Falkenstein (BAAI bge-m3 via zelf-gehoste Text-Embeddings-Inference + pgvector).

Recht

De AVG en het Nederlandse recht gelden voor onze verwerking en onze overeenkomsten. Of de Cyberbeveiligingswet (de Nederlandse uitwerking van NIS2) voor jouw organisatie geldt, hangt af van je sector en omvang.

Supply Chain Transparantie

Infrastructuur Partners

Partner Type	Jurisdictie	Functie
Datacenter	Falkenstein, Duitsland (Hetzner Online GmbH)	Fysieke hosting op een dedicated server
Edge en DNS	VS (Cloudflare, Inc.)	DNS, CDN, DDoS-bescherming, TLS aan de rand
Software	Open source	Platformcomponenten zoals PostgreSQL, Stalwart en Zitadel

Technische Maatregelen

Encryptie

Data State	Methode	Toelichting
In Transit	TLS 1.2 of hoger, TLS 1.3 wordt ondersteund	Aan de rand beëindigt Cloudflare de TLS-verbinding
Backup	Back-ups staan in het Hetzner-datacenter in Falkenstein (Duitsland). Back-ups worden versleuteld opgeslagen

Toegangscontrole

Inloggen via één Noveu-login (OpenID Connect)
MFA (TOTP) en passkeys zijn beschikbaar
Het auditlog per organisatie is te exporteren als CSV
Principle of least privilege, via rollen per organisatie

Transparantie

Open source componenten waar mogelijk
Transparante subprocessor lijst, actueel op /juridisch/sub-verwerkers

Subprocessoren

Goedgekeurde Subprocessoren

Dit is de volledige lijst van goedgekeurde subprocessoren. Dezelfde partijen staan in het juridische overzicht op /juridisch/sub-verwerkers.

Subprocessor	Vestiging	Verwerkingslocatie	Dienst	Data Toegang	Waarborg
Hetzner Online GmbH	Duitsland (EU)	Falkenstein (DE)	Hosting / compute / storage / back-ups	Back-ups worden versleuteld opgeslagen	AVG: EU-entiteit + DPA
Cloudflare, Inc.	VS (EU-entity beschikbaar)	Wereldwijd netwerk van Cloudflare	DNS, CDN, DDoS-mitigatie, edge, Cloudflare Tunnel	IP-adressen, metadata, TLS-terminatie aan de edge	EU-VS DPF + SCC's + DPA
Stripe Payments Europe Ltd.	Ierland (EU)	EU	Betalingsverwerking (kaart, iDEAL, SEPA)	Facturatie-, bedrijfs- en betaalgegevens	AVG: EU-entiteit + DPA
Mistral AI SAS	Frankrijk (EU)	EU (volgens Mistral, standaard)	AI-ondersteuning, alleen LLM-tekstgeneratie (de tekst van alle AI-functies). Embeddings draaien on-premise op eigen EU-infra	Bij de assistent de vraag, tot vijf eerdere beurten, de gevonden passages met bronadres en wat de assistent opzoekt (mails, tickets, facturen); bij de mailhulp afzender, onderwerp en tekst van de mail	AVG: EU-entiteit + Mistral DPA + data-minimisatie/pseudonimisatie

Uitgefaseerd per 29 augustus 2026: Google LLC (Gemini API, VS), vervangen door Mistral AI SAS. De aankondiging conform DPA art. 6.3 staat op /juridisch/sub-verwerkers.

De externe AI-subprocessor (Mistral AI) wordt ingezet voor LLM-tekstgeneratie, de tekst van alle AI-functies. De embeddings en de vector-store zijn self-hosted (BAAI bge-m3 via zelf-gehoste Text-Embeddings-Inference

pgvector, EU). Het juridische overzicht, met de toelichting per subprocessor, staat op /juridisch/sub-verwerkers en in de DPA (Data Processing Agreement).

Wijzigingsprocedure

Wijzigingen in subprocessoren:

Kondigen we minimaal 30 dagen vooraf aan
Staan daarna op /juridisch/sub-verwerkers
Geven je de mogelijkheid om gemotiveerd bezwaar te maken en zo nodig op te zeggen met 30 dagen opzegtermijn

Overheidsverzoeken

Procedure

Bij verzoeken van overheden:

Toetsen we of het verzoek een geldige juridische grondslag heeft
Geven we niet meer dan het verzoek vraagt
Informeren we de klant, tenzij de wet dat verbiedt

Auditing

Klant Auditrecht

Volgens artikel 10 van de verwerkersovereenkomst mag je eenmaal per kalenderjaar een audit (laten) uitvoeren door een onafhankelijke, gekwalificeerde auditor onder geheimhouding, en aanvullend bij een datalek of een onderzoek door de toezichthouder.

Beschikbare Documentatie

ISO 27001 certificaat van het datacenter (Hetzner Falkenstein)
De openbare datacenterbeschrijving van Hetzner
Technische en organisatorische maatregelen op aanvraag

Contact

Privacy en gegevensbescherming: privacy@noveu.eu

Autoriteit Persoonsgegevens:

Website: autoriteitpersoonsgegevens.nl
Voor klachten over dataverwerking

Dataresidentieverklaring