Verwerking van klantgegevens

Voor klanten die Echospring gebruiken: hier staat welke leveranciers betrokken zijn bij het verwerken van jouw content, waar zij staan en wat zij doen. De volledige verwerkersovereenkomst (DPA) is op te vragen via het contactformulier.

Subverwerkers

Leverancier	Locatie	Functie	Juridisch kader
Supabase	EU (Frankfurt)	Database, pgvector, edge functions, opslag van content en embeddings	DPA Supabase. Bedrijf is Delaware C-corp, valt formeel onder CLOUD Act. Mitigatie: data-encryption at rest, geen US-region in productie, AVG-compliant in praktijk
Anthropic	US (data-flow via EU-endpoint)	Generatie van antwoorden via Claude Sonnet	Enterprise-DPA met Standard Contractual Clauses (SCCs). Geen training op klantcontent. Wij gebruiken geen training-fallback
Mistral	EU (Parijs)	Embeddings (tekst naar vector)	DPA Mistral, EU-bedrijf, geen US-jurisdictie
Gladia	EU (Parijs)	Transcriptie van audio en video	DPA Gladia, EU-bedrijf, geen US-jurisdictie
Scaleway	EU (Parijs)	Object Storage en optioneel sovereign-hosting (Spoor B)	DPA Scaleway, EU-bedrijf, sovereign-cloud-statement beschikbaar
Mailjet	EU (Parijs)	Transactional mail (service-mails, geen marketing)	DPA Mailjet, onderdeel Sinch Group, EU-data-center bevestigd
TransIP	EU (NL)	Hosting van de echospring.eu marketingsite, het embed-script (nginx) plus mail	DPA TransIP, NL-bedrijf

Kernpunten

Vier vragen die compliance-bewuste bezoekers stellen, vier korte antwoorden.

Wat blijft binnen de EU

Klantcontent, transcripten, chunks, embeddings, vector-zoekindex, query-logs en analytics. Alles op Supabase Frankfurt voor Spoor A of self-hosted EU-VPS voor Spoor B. Geen US-cloud in deze keten.

Anthropic als sub-verwerker

Bij elke vraag: prompt plus geselecteerde chunks naar Claude Sonnet onder enterprise-DPA met SCCs. Niet de volledige database, niet de embeddings, geen persoonsgegevens van bezoekers. Geen training op klantcontent, geen training-fallback.

Spoor B sovereign-variant

Anthropic vervangen door Mistral Large in Parijs of een andere EU-LLM. Volledige keten binnen de EU, zonder SCC-route via een US-bedrijf. Hogere setup-fee en maand-fee. Aanbevolen voor ministeries, NEN 7510-strenge zorg en juridische diensten.

Datalek-melding

Bij een datalek in onze keten informeren wij klanten binnen 24 uur. Procedure conform AVG-artikel 33 en 34. Contactpunt via /contact met onderwerp 'Anders' en duidelijke vermelding.

Onze rol als verwerker

Echospring (handelsnaam onder [juridische drager wordt definitief vastgelegd voor eerste klant]) is verwerker in de zin van de AVG. Klant is verwerkingsverantwoordelijke. De DPA legt vast welke instructies de verwerker volgt en welke beveiligingsmaatregelen op alle subverwerkers van toepassing zijn.