Dataresidentie: waar staan je gegevens?

Verklaring

Je gegevens en back-ups staan in Duitsland, in een Hetzner-datacenter in Falkenstein. Er is geen tweede locatie. Noveu Solutions is een Nederlandse onderneming (eenmanszaak) onder Nederlands recht. Cloudflare is de enige sub-verwerker met een Amerikaanse vestiging; voor die partij gelden het EU-VS Data Privacy Framework en SCC's. De AI-verwerker is sinds 29 augustus 2026 Mistral AI SAS (Frans bedrijf; volgens Mistral standaard in de EU). Het actuele overzicht staat op /juridisch/sub-verwerkers.

Scope

Deze verklaring gaat over de plaats waar we klantdata opslaan:

e-mail, bestanden, documenten en identiteitsgegevens
back-ups
logbestanden en auditlogs

Verkeer onderweg loopt via het edge-netwerk van Cloudflare; zie Edge / DDoS / CDN hieronder.

Datacenter Locaties

Primair Datacenter

Aspect	Details
Locatie	Falkenstein, Duitsland (gegevens en back-ups)
Operator	Hetzner Online GmbH
Beveiliging terrein	Omheind terrein met camerabewaking en elektronische toegangscontrole, volgens de datacenterbeschrijving van Hetzner, geraadpleegd 28-09-2026
Certificeringen	Hetzner is voor infrastructuur en bedrijfsvoering van zijn datacenterparken gecertificeerd volgens ISO/IEC 27001:2022, volgens de certificering van Hetzner, geraadpleegd 28-09-2026. Noveu zelf is nog niet gecertificeerd
Eigendom	Europees (Duitse GmbH)

Edge / DDoS / CDN

Aspect	Details
Operator	Cloudflare, Inc. (VS)
Rol	DNS, CDN, DDoS-bescherming en TLS aan de rand van het netwerk; de inhoud van het verkeer is voor Cloudflare zichtbaar tijdens de edge-verwerking
Locatie	Wereldwijd edge-netwerk; een verbinding kan op een locatie buiten de EU uitkomen
Jurisdictie waarborgen	EU-VS DPF + SCC's + Cloudflare DPA

Juridische Afscherming

Jurisdictie van de hoofdverwerker

Noveu Solutions:

Is een Nederlandse onderneming, geen US moederbedrijf of dochteronderneming (eenmanszaak, ingeschreven bij de Kamer van Koophandel onder nummer 42030979)
Maakt voor primaire klantdata (mail, files, databases) geen gebruik van US-cloudproviders (geen AWS, geen Azure, geen GCP)

Erkende sub-verwerkers met US-nexus

Voor randdiensten gebruiken wij wel een sub-verwerker met US-nexus. Deze staat transparant op /juridisch/sub-verwerkers en werkt onder EU-VS DPF + SCC's + DPA:

Cloudflare, Inc., edge, DDoS, CDN, DNS. Cloudflare beëindigt TLS aan de edge en verwerkt verkeer en metadata in transit; payload-inhoud is voor Cloudflare zichtbaar tijdens de edge-verwerking. Persistente klantdata blijft opgeslagen bij Hetzner, in Falkenstein (Duitsland). Back-ups worden sinds 30 september 2026 versleuteld opgeslagen. De schijven zelf zijn nog niet versleuteld; een datum daarvoor geven we nog niet.

Sinds 29 augustus 2026 is Cloudflare de enige sub-verwerker met US-nexus. De AI-verwerker was tot die datum Google LLC (Gemini API, VS) en is nu een EU-partij.

AI-verwerker (EU)

Mistral AI SAS (Frans bedrijf; volgens Mistral standaard in de EU), voor de tekst van alle AI-functies (LLM-tekstgeneratie). Naar Mistral gaan bij de assistent je vraag, tot vijf eerdere beurten, de gevonden passages met hun bronadres en wat de assistent voor je opzoekt, zoals mails, tickets en facturen; bij de mailhulp afzender, onderwerp en tekst van de mail. AI staat standaard uit: Noveu zet AI per organisatie aan. In een organisatie waar AI aanstaat, kunnen alle leden de assistent gebruiken, gasten niet. Een schakelaar waarmee je organisatie AI zelf aan- of uitzet, is er nog niet. Mistral zegt zelf dat data standaard in de EU blijft, maar per functie tijdelijk naar sub-verwerkers van Mistral kan gaan. De embeddings (vectorisatie) en de vector-store draaien op onze eigen infrastructuur in Falkenstein (BAAI bge-m3 via zelf-gehoste Text-Embeddings-Inference + pgvector); er wordt geen externe embedding-API of externe vector-database gebruikt. Anthropic, OpenAI, Google en Pinecone zijn niet in gebruik.

Recht

De AVG en het Nederlandse recht gelden voor onze verwerking en onze overeenkomsten. Of de Cyberbeveiligingswet (de Nederlandse uitwerking van NIS2) voor jouw organisatie geldt, hangt af van je sector en omvang.

Supply Chain Transparantie

Infrastructuur Partners

Partner Type	Jurisdictie	Functie
Datacenter	Falkenstein, Duitsland (Hetzner Online GmbH)	Fysieke hosting op een dedicated server
Edge en DNS	VS (Cloudflare, Inc.)	DNS, CDN, DDoS-bescherming, TLS aan de rand
Software	Open source	Platformcomponenten zoals PostgreSQL, Stalwart en Zitadel

Expliciete Uitsluitingen

De volgende hyperscalers worden niet gebruikt voor primaire klantdata-verwerking of -opslag:

Amazon Web Services (AWS)
Microsoft Azure
Google Cloud Platform
Oracle Cloud

Technische Maatregelen

Encryptie

Data State	Methode	Toelichting
At Rest (volume/disk)	Niet versleuteld; een datum daarvoor geven we nog niet	Niet van toepassing
In Transit	TLS 1.2 of hoger, TLS 1.3 wordt ondersteund	Aan de rand beëindigt Cloudflare de TLS-verbinding
Backup	Back-ups staan in het Hetzner-datacenter in Falkenstein (Duitsland). Back-ups worden sinds 30 september 2026 versleuteld opgeslagen	Niet van toepassing

Toegangscontrole

Inloggen via één Noveu-login (OpenID Connect)
MFA (TOTP) en passkeys zijn beschikbaar en optioneel; verplichte MFA per organisatie is gepland
Het auditlog per organisatie is te exporteren als CSV; centrale toegangslogging is gepland
Principle of least privilege, via rollen per organisatie

Transparantie

Een externe audit van Noveu is er nog niet geweest
Open source componenten waar mogelijk
Transparante subprocessor lijst, actueel op /juridisch/sub-verwerkers

Subprocessoren

Goedgekeurde Subprocessoren

Dit is de volledige lijst van goedgekeurde subprocessoren. Dezelfde partijen staan in het juridische overzicht op /juridisch/sub-verwerkers.

Subprocessor	Vestiging	Verwerkingslocatie	Dienst	Data Toegang	Waarborg
Hetzner Online GmbH	Duitsland (EU)	Falkenstein (DE)	Hosting / compute / storage / back-ups	Back-ups worden sinds 30 september 2026 versleuteld opgeslagen; de schijven zelf zijn nog niet versleuteld, een datum daarvoor geven we nog niet	AVG: EU-entiteit + DPA
Cloudflare, Inc.	VS (EU-entity beschikbaar)	Wereldwijd netwerk van Cloudflare, zonder beperking tot de EU	DNS, CDN, DDoS-mitigatie, edge, Cloudflare Tunnel	IP-adressen, metadata, TLS-terminatie aan de edge	EU-VS DPF + SCC's + DPA
Stripe Payments Europe Ltd.	Ierland (EU)	EU	Betalingsverwerking (kaart, iDEAL, SEPA)	Facturatie-, bedrijfs- en betaalgegevens	AVG: EU-entiteit + DPA
Mistral AI SAS	Frankrijk (EU)	EU (volgens Mistral, standaard)	AI-ondersteuning, alleen LLM-tekstgeneratie (de tekst van alle AI-functies). Embeddings draaien on-premise op eigen EU-infra (geen externe embedding-API/vector-DB)	Bij de assistent de vraag, tot vijf eerdere beurten, de gevonden passages met bronadres en wat de assistent opzoekt (mails, tickets, facturen); bij de mailhulp afzender, onderwerp en tekst van de mail	AVG: EU-entiteit + Mistral DPA + data-minimisatie/pseudonimisatie

Uitgefaseerd per 29 augustus 2026: Google LLC (Gemini API, VS), vervangen door Mistral AI SAS. De aankondiging conform DPA art. 6.3 staat op /juridisch/sub-verwerkers.

De externe AI-subprocessor (Mistral AI) wordt ingezet voor LLM-tekstgeneratie, de tekst van alle AI-functies. De embeddings en de vector-store zijn self-hosted (BAAI bge-m3 via zelf-gehoste Text-Embeddings-Inference

pgvector, EU); Anthropic, OpenAI, Google en Pinecone zijn niet in gebruik. Het juridische overzicht, met de toelichting per subprocessor, staat op /juridisch/sub-verwerkers en in de DPA (Data Processing Agreement).

Wijzigingsprocedure

Wijzigingen in subprocessoren:

Kondigen we minimaal 30 dagen vooraf aan
Staan daarna op /juridisch/sub-verwerkers
Geven je de mogelijkheid om gemotiveerd bezwaar te maken en zo nodig op te zeggen met 30 dagen opzegtermijn

Overheidsverzoeken

Procedure

Bij verzoeken van overheden:

Toetsen we of het verzoek een geldige juridische grondslag heeft
Geven we niet meer dan het verzoek vraagt
Informeren we de klant, tenzij de wet dat verbiedt

Status van dit document

Dit document is een toelichting, geen contract. Wat bindend is, staat in de Algemene Voorwaarden en de verwerkersovereenkomst (conceptversie, nog niet juridisch getoetst). Bij een verschil gaan die voor.

Auditing

Klant Auditrecht

Volgens artikel 10 van de verwerkersovereenkomst mag je eenmaal per kalenderjaar een audit (laten) uitvoeren door een onafhankelijke, gekwalificeerde auditor onder geheimhouding, en aanvullend bij een datalek of een onderzoek door de toezichthouder.

Beschikbare Documentatie

ISO 27001 certificaat van het datacenter (Hetzner Falkenstein); Noveu zelf is nog niet gecertificeerd
De openbare datacenterbeschrijving van Hetzner
Technische en organisatorische maatregelen op aanvraag

Contact

Privacy en gegevensbescherming: privacy@noveu.eu

Autoriteit Persoonsgegevens:

Website: autoriteitpersoonsgegevens.nl
Voor klachten over dataverwerking

Document Details

Aspect	Details
Versie	1.13
Datum	21 oktober 2026
Wijziging in 1.2	AI-verwerker: Google LLC (Gemini API, VS) per 29 augustus 2026 vervangen door Mistral AI SAS (Frans bedrijf); volgens Mistral standaard in de EU; Cloudflare is sindsdien de enige sub-verwerker met US-nexus. Aankondiging conform DPA art. 6.3 op /juridisch/sub-verwerkers.
Wijziging in 1.3	Rechtsvorm: "Nederlandse BV" vervangen door "Nederlandse onderneming" zolang het KvK-uittreksel niet is verwerkt. Auditdocumentatie: het SOC 2-rapport is uit de lijst met beschikbare bewijsstukken gehaald omdat SOC 2 Type II nog op de roadmap staat; het ISO 27001-certificaat is verduidelijkt als certificering van het datacenter.
Wijziging in 1.4	Datacenter: de Tier-classificatie is weggehaald, daarvoor is geen bron. De tabel noemt nu wat Hetzner zelf publiceert (camerabewaking, elektronische toegangscontrole, ISO/IEC 27001:2022) en dat Noveu zelf nog niet gecertificeerd is.
Wijziging in 1.5	Rechtsvorm: eenmanszaak, ingeschreven bij de Kamer van Koophandel onder nummer 42030979 (bevestigd op 28 september 2026), gelijk aan artikel 1.1 van de Algemene Voorwaarden v1.4.
Wijziging in 1.6	Claims zonder bewijs weggehaald (besluit van 30 september 2026): TLS noemt nu 1.2 of hoger, de edge noemt Cloudflare (VS) zonder routeringsbelofte, de juridische conclusie over Amerikaanse wetgeving is weg, net als de beloftes over EU-personeel, verplichte MFA, een jaarlijks transparantierapport, een datacenterbezoek en een pentestsamenvatting. De lege DPO-velden zijn weg, het auditrecht volgt artikel 10 van de verwerkersovereenkomst, en dit document heet nu een toelichting in plaats van een bindend stuk.
Wijziging in 1.7	Verwerkingslocatie van Cloudflare: "EU-datacenters + global edge" vervangen door "Wereldwijd netwerk van Cloudflare, zonder beperking tot de EU", gelijk aan sub-verwerkers v1.6 (meting 30 september 2026).
Wijziging in 1.8	Back-ups: de stand volgt de meting van 30 september 2026: back-ups worden sinds 30 september 2026 versleuteld opgeslagen. Gewijzigd zijn de inleiding bij Hetzner, de rij Backup en de rij Hetzner Online GmbH. Versleuteling van overige opslag at rest blijft gepland (oktober 2026).
Wijziging in 1.9	Feitelijke correctie. Back-ups worden sinds 30 september 2026 versleuteld opgeslagen. De schijven zelf zijn nog niet versleuteld; een datum daarvoor geven we nog niet. De eerder geplande datum voor versleuteling van de schijven is vervallen. Gewijzigd zijn de inleiding bij Cloudflare, de rij At Rest en de rij Hetzner Online GmbH.
Wijziging in 1.10	Claims zonder bewijs weggehaald (besluit van 14 oktober 2026): de zin over een geplande externe penetratietest en de alinea over een SOC 2 Type II-rapport zijn verwijderd. Er is nooit een externe penetratietest uitgevoerd en SOC 2 is niet vastgesteld.
Wijziging in 1.11	AI-verwerker volgens claimregel 6 (stand 15 oktober 2026). De locatie bij Mistral staat er nu als opgave van Mistral zelf ("volgens Mistral standaard in de EU"), niet als eigen meting; de rij 1.2 volgt die kwalificatie. Nieuw is wat er naar Mistral gaat (bij de assistent je vraag, tot vijf eerdere beurten, de gevonden passages met hun bronadres en wat de assistent voor je opzoekt; bij de mailhulp afzender, onderwerp en tekst van de mail) en dat de assistent aanstond voor alle leden, niet voor gasten, zonder werkende schakelaar om AI uit te zetten. Weg zijn de slotzin dat de rest van de verwerking in de EU staat, de belofte van activering per klant en de zin over training, omdat er geen meting onder ligt. Gewijzigd zijn de verklaring, het blok AI-verwerker, de rij Mistral AI SAS, de alinea over de externe AI-subprocessor en de verwijzing naar het juridische overzicht.
Wijziging in 1.12	AI standaard uit volgens claimregel 6 (stand 15 oktober 2026). AI staat standaard uit en Noveu zet AI per organisatie aan; in een organisatie waar AI aanstaat, kunnen alle leden de assistent gebruiken, gasten niet. Een schakelaar waarmee de organisatie AI zelf aan- of uitzet, is er nog niet. Gewijzigd is de beschrijving bij Mistral AI SAS.
Wijziging in 1.13	Feitelijke correctie: Mollie B.V. is geen sub-verwerker of betaaldienstverlener van Noveu en is verwijderd uit de tabel met sub-verwerkers, gelijk aan sub-verwerkers v1.8.1. Bij Stripe staat iDEAL nu als betaalmethode genoemd (rij Stripe Payments Europe Ltd.), gelijk aan de algemene voorwaarden. De overige onderdelen zijn ongewijzigd.
Volgende review	Januari 2027

Dataresidentieverklaring