Geen US-cloudprovider in het datapad
Niet als rekenknoop, niet als CDN-edge, niet als e-mailrelay, niet als AI-inferentie-endpoint. Het gehele datapad blijft binnen EU-jurisdictie-infrastructuur.
Waarom EU-soeverein
GDPR-conform en EU-soeverein zijn niet hetzelfde.
GDPR-conform betekent dat je een privacybeleid en een cookiebanner hebt. EU-soeverein betekent dat de data nooit een US-cloudprovider aanraakt. Het verschil is belangrijk.
Het CLOUD Act-probleem
De Clarifying Lawful Overseas Use of Data Act (18 U.S.C. § 2713) verplicht Amerikaanse bedrijven wereldwijd opgeslagen data te verstrekken bij een geldig Amerikaans rechtelijk bevel. AWS, Azure, Google Cloud, Cloudflare, Salesforce en HubSpot zijn allemaal Amerikaanse bedrijven. Als een van hen in je datapad zit, geldt de CLOUD Act — ongeacht waar de servers staan of wat het privacybeleid zegt.
Schrems II
Het Hof van Justitie van de EU heeft het EU-VS Privacy Shield in 2020 ongeldig verklaard. Persoonsgegevensoverdrachten van de EU naar de VS zijn in beginsel onrechtmatig zonder geval-per-geval-waarborgen. Data Transfer Impact Assessments zijn duur en moeilijk te onderhouden. Elke US-cloudprovider in je datapad is een overdracht die je elk jaar schriftelijk moet onderbouwen bij je FG.
Wat EU-soeverein in de praktijk betekent
EU-rechtspersoon voor elke sub-verwerker
Elk bedrijf dat je data aanraakt — compute, opslag, e-mail, identiteit, AI — is een EU-rechtspersoon die niet onder de CLOUD Act valt.
Encryptiesleutels beheerd binnen EU-jurisdictie
AES-256-GCM-sleutels worden gegenereerd en opgeslagen op EU-infrastructuur. Geen sleutelmateriaal verlaat de EU. Sleutelrotatie is mogelijk zonder herversleuteling van data.
Aantoonbare dataresidentie, niet alleen beweerd
We publiceren onze infrastructuurkeuzes in Architecture Decision Records. Onze hosting is verifieerbaar, niet alleen beweerd in een marketingpdf.
Onze volledige stack, component voor component
Elke afhankelijkheid, elke jurisdictie, elk bedrijf daarachter.
| Component | Provider | Location | Legal entity |
|---|---|---|---|
| Compute | Hetzner Cloud | Falkenstein, Duitsland | Hetzner Online GmbH (Duits) |
| Database | Postgres op Hetzner | Falkenstein, Duitsland | Hetzner Online GmbH (Duits) |
| Off-site back-ups | Scaleway Object Storage | Parijs, Frankrijk | Scaleway SAS (Frans) |
| Identity | Keycloak (zelf-gehost) | Falkenstein, Duitsland | Red Hat / open source, zelf beheerd |
| Transactionele e-mail | Scaleway TEM | Parijs, Frankrijk | Scaleway SAS (Frans) |
| DNS | deSEC | Berlijn, Duitsland | deSEC e.V. (Duits non-profit) |
| CDN (marketingsite) | BunnyCDN | EU-PoPs | BunnyWay d.o.o. (Sloveens) |
| AI / LLM | Mistral AI | Parijs, Frankrijk | Mistral AI SAS (Frans) |
Voor wie dit belangrijk is
Als je organisatie een van het volgende verwerkt, is EU-soevereine automatisering geen optie — het is de inkoopvereiste.
Zorg & medisch
Medische dossiers, diagnostische gegevens en patiëntcommunicatie zijn bijzondere persoonsgegevens onder de AVG. Een US-cloud-sub-verwerker die deze verwerkt zonder uitdrukkelijke grondslag is een datalek in wording.
Finance & banking
Bankgeheimwetgeving, DORA en intern beveiligingsbeleid verbieden doorgaans de verwerking van financiële gegevens buiten EU-jurisdictie. Auditvereisten eisen een volledige, aantoonbare bewakingsketen.
Juridische & professionele diensten
Beroepsgeheim en advocaat-cliëntprivilege vereisen dat cliëntcommunicatie en dossierdata in een gecontroleerde, auditeerbare omgeving blijven — niet in een US-cloud-SaaS.
Overheid & publieke sector
NIS2 behandelt automatiseringstools als toeleveringsketenafhankelijkheden. Inkoopregels in de meeste EU-lidstaten vereisen expliciet EU-dataresidentie voor systemen die burgerdata verwerken.
Klaar om je automatisering in Europa te houden?
Bridgekit is het enige workflowautomatiseringsplatform waarbij elk component in het datapad in de EU is gevestigd. Begin gratis of bespreek jouw specifieke compliancevereisten met ons.