Transparantie: waar je gegevens staan
Versie 1.0, 13 oktober 2026
Op deze pagina lees je waar de systemen van Appset staan, welke partijen we gebruiken, en hoe we je gegevens beschermen tegen onrechtmatige toegang door overheden buiten de Europese Unie. Dat moeten we volgens de Europese Data Act (artikel 28) bijhouden, en we vinden het ook gewoon goed om te laten zien.
Inhoud
- Waar je gegevens staan
- Partijen met een Amerikaans moederbedrijf
- Hoe we je gegevens beschermen
- Als een overheid om gegevens vraagt
- Overstappen en je gegevens meenemen
- Wijzigingen op deze pagina
1. Waar je gegevens staan
1.1 Alle gegevens van je business, zoals je klanten, bestellingen, afspraken, pagina's en afbeeldingen, staan in Nederland, in het datacentrum van Microsoft Azure in Amsterdam (regio West-Europa). Daar staan ook de back-ups.
1.2 Het overzicht van de infrastructuur:
| Onderdeel | Partij | Waar | Rechtsgebied |
|---|---|---|---|
| Servers, databases, bestandsopslag en back-ups | Microsoft Azure | Amsterdam (West-Europa) | Nederland |
| Sleutels en wachtwoorden van onze systemen | Microsoft Azure (Key Vault) | Amsterdam (West-Europa) | Nederland |
| Afbeeldingen snel leveren (cdn.appset.nl) | Microsoft Azure (Front Door) | Het origineel staat in Amsterdam. Kopieën worden tijdelijk bewaard op servers zo dicht mogelijk bij de bezoeker, ook buiten de EU. | Nederland, en het land van de server |
| Websites, dashboard en formulieren | Vercel, op servers van Amazon Web Services | Frankfurt | Duitsland |
| Tijdelijke opslag voor snelheid (cache) | Upstash | Frankfurt | Duitsland |
| Inloggen en accountbeheer | Auth0 (Okta) | EU | EU |
| Betalingen | Stripe Payments Europe Ltd. | Ierland | Ierland |
1.3 Daarnaast gebruiken we een paar partijen voor losse taken, zoals het versturen van e-mails en pushmeldingen. Een aantal daarvan verwerkt gegevens in de Verenigde Staten. De volledige lijst, met per partij waarvoor en waar, staat in de bijlage bij onze verwerkersovereenkomst.
2. Partijen met een Amerikaans moederbedrijf
2.1 Ook als gegevens in de EU staan, kan de partij die ze bewaart een Amerikaans moederbedrijf hebben. Amerikaanse wetten, zoals de CLOUD Act, kunnen zo'n moederbedrijf verplichten om gegevens af te geven, ook als die in Europa staan.
2.2 Dat geldt voor onder meer Microsoft (Azure), Amazon (de servers van Vercel), Vercel, Upstash, Okta (Auth0), Stripe, Intuit (Mailchimp), Google, Apple, Expo, PostHog en Cloudflare.
2.3 Wat we daar tegenover zetten:
- We kiezen bij elke partij voor opslag in de EU als dat kan.
- Met elke partij hebben we afspraken over gegevensbescherming. Gaan gegevens naar een land buiten de EU, dan gebeurt dat waar mogelijk op basis van het EU-VS Data Privacy Framework, en anders met de standaardcontractbepalingen van de Europese Commissie.
- We versleutelen en beperken de toegang zoals in artikel 3, zodat er zo min mogelijk is om af te geven.
3. Hoe we je gegevens beschermen
3.1 Opslag in de EU. Je gegevens staan in Amsterdam (artikel 1.1).
3.2 Versleuteling. Alle verbindingen met je website, het dashboard, de app en onze API zijn versleuteld (HTTPS). Opgeslagen gegevens, zoals de databases, bestanden en back-ups, zijn versleuteld door Azure.
3.3 Sleutelbeheer. Wachtwoorden en sleutels van onze systemen staan in Azure Key Vault, en niet in de code. Elke omgeving, zoals de testomgeving en de live omgeving, heeft een eigen kluis, die alleen voor die omgeving toegankelijk is.
3.4 Beperkte toegang. Alleen de twee mensen achter Appset hebben beheertoegang tot de systemen. Moet iemand anders ergens bij, zoals onze accountant, dan krijgt die alleen toegang tot wat hij nodig heeft, en alleen zolang dat nodig is.
3.5 Afspraken met partijen. Partijen die gegevens voor ons verwerken, doen dat alleen voor het leveren van Appset, en volgens schriftelijke afspraken. Zie onze verwerkersovereenkomst.
4. Als een overheid om gegevens vraagt
4.1 Vraagt een overheid of rechter ons om gegevens van jou of je klanten, dan:
- controleren we eerst of het verzoek rechtsgeldig is. Een verzoek van een overheid buiten de EU volgen we alleen op als het gebaseerd is op een verdrag met de EU of met Nederland, of als het voldoet aan de voorwaarden van artikel 32 van de Data Act;
- geven we niet meer dan strikt nodig is;
- laten we het je vooraf weten, tenzij de wet dat verbiedt, bijvoorbeeld tijdens een strafrechtelijk onderzoek;
- leggen we elk verzoek vast, ook als we het afwijzen.
4.2 Krijgt een partij uit artikel 1.2 zo'n verzoek over jouw gegevens, dan verwachten we dat die partij hetzelfde doet. Horen we ervan, dan laten we het je weten.
5. Overstappen en je gegevens meenemen
5.1 Je mag altijd overstappen naar een andere partij, of je gegevens meenemen. Hoe dat gaat, en welke gegevens je krijgt, staat in artikel 10 van onze voorwaarden en in de bijlage met exporteerbare gegevens.
6. Wijzigingen op deze pagina
6.1 We werken deze pagina bij zodra we een partij toevoegen of vervangen, of gegevens op een andere plek gaan bewaren. Elke versie krijgt een eigen nummer en datum, en eerdere versies blijven hier te lezen.
6.2 Verandert er iets aan de plek waar de gegevens van je business staan, dan laten we je dat vooraf per e-mail weten.
Vragen over deze pagina? Mail naar info@appset.nl of bel 0313 312 121.
