Nederlandse data & soevereiniteit

Alle servers, databases, caches en backups draaien bij EU-gevestigde subverwerkers, volledig binnen de Europese Economische Ruimte (EER) en onder EU-jurisdictie.

Digitale soevereiniteit betekent dat de gegevensverwerking volledig onder Nederlandse en EU-jurisdictie valt — niet onder buitenlandse wetten, gerechtelijke bevelen of inlichtingenverzoeken. Voor woningdata is dat extra relevant: een rapport bevat adresgegevens, sociaaleconomische buurtindicatoren en financieel-juridische context (WOZ, hypotheekberekening). Die combinatie verdient een verwerkingsketen die niet via buitenlandse cloudproviders loopt.

Door uitsluitend in Nederland en Duitsland te hosten blijven we volledig binnen de AVG (GDPR). We vermijden zo het conflict tussen de Amerikaanse CLOUD Act en de AVG, FISA Section 702-verzoeken, en National Security Letters die geheimhoudingsplicht opleggen aan providers. Er is geen toezichtsoverlap met buitenlandse autoriteiten en geen aanvullend doorgiftekader (SCC's, TIA) nodig.

Onze applicatieserver, database en backups draaien bij een EU-gevestigde hostingprovider. Persistente opslag is versleuteld in rust met AES-256 op infrastructuurniveau; verkeer loopt over TLS 1.2+. Wachtwoorden worden gehasht met bcrypt — nooit in plain text.

Versleuteling at-rest is industriestandaard op providerniveau; we maken geen aparte certificeringsclaim namens Biedradar zelf.

Voor IP-rate-limiting en korte JSON-caches gebruiken we Upstash Redis binnen de EU. Upstash draait op EU-infrastructuur en valt binnen de EER. De cache bevat alleen tijdelijke, niet-persoonsgebonden zoekresultaten met een korte TTL — geen rapportgeschiedenis.

We gebruiken geen AWS, Azure, Google Cloud, Cloudflare Workers, Vercel, Netlify of vergelijkbare Amerikaanse hyperscalers. Ook geen US-gebaseerde managed databases of logging-as-a-service. Hierdoor voorkomen we extraterritoriale conflicten tussen Amerikaans recht en de AVG.

We gebruiken geen AWS, Azure, Google Cloud of andere Amerikaanse cloudproviders. Hierdoor is de CLOUD Act niet van toepassing op onze data. De Amerikaanse overheid kan geen toegang afdwingen tot gegevens op onze servers.

De Amerikaanse CLOUD Act (2018) verplicht US-providers om data af te geven, ongeacht of die in de EU is opgeslagen. Dat staat op gespannen voet met artikel 48 AVG, dat doorgifte op basis van buitenlandse rechterlijke bevelen niet erkent zonder verdrag. Door geen US-provider in de keten te hebben is de CLOUD Act feitelijk niet inroepbaar tegen onze opslag.

In het Schrems II-arrest (C-311/18, 2020) verklaarde het Hof van Justitie het Privacy Shield ongeldig vanwege FISA Section 702-surveillance op niet-Amerikanen. Wij vermijden deze problematiek volledig: er vindt geen doorgifte naar de Verenigde Staten plaats voor opslag of verwerking van rapportdata.

Alle persoons- en analysedata blijft binnen de Europese Economische Ruimte. Onze hosting- en cache-subverwerkers zijn binnen de EU gevestigd, dus een adequaatheidsbesluit, Standard Contractual Clauses of Transfer Impact Assessment is niet nodig — er is simpelweg geen export.

Onze database draait binnen de EER bij een EU-gevestigde hostingprovider. Persistente opslag is versleuteld in rust met AES-256 op infrastructuurniveau. Wachtwoorden worden gehasht met bcrypt en nooit in plain text bewaard.

Redis (Upstash) wordt alleen gebruikt voor rate-limiting per IP en korte JSON-caches met TTL. De cache is volatiel: bij verloop van de TTL worden gegevens automatisch verwijderd. Er staan geen rapporten, accounts of betaalgegevens in.

Verkeer tussen browser, server en externe API's verloopt over TLS 1.2+. Het certificaat wordt uitgegeven door Let's Encrypt (ISRG, non-profit CA). De onderliggende schijven worden op infrastructuurniveau versleuteld met AES-256 (industriestandaard) door onze EU-hostingprovider.

Op alle gegevensverwerking is uitsluitend Nederlands en Europees recht van toepassing, waaronder de AVG (GDPR), de Telecommunicatiewet en het Wetboek van Strafrecht.

Alle data die we gebruiken komt uit officiële Nederlandse registraties:

• Kadaster — Nederlands overheidsbedrijf, data verwerkt in NL
• CBS (Centraal Bureau voor de Statistiek) — Nederlandse overheidsinstantie
• Politie — Openbare Nederlandse politiedata
• EP-Online — RVO (Rijksdienst voor Ondernemend Nederland)
• PDOK — Publieke Dienstverlening Op de Kaart, overheidsplatform

Het Kadaster is een Nederlands zelfstandig bestuursorgaan. We bevragen Koopsom (transactieprijzen, €0,45 per opvraag), KadasterCheck (per veld) en Objectinformatie (basis gratis, WOZ-waarde €1,92). Transactiedata zijn historisch en worden permanent gecached in onze SQLite — herhaalbevraging is niet nodig.

Het Centraal Bureau voor de Statistiek levert geaggregeerde Wijken- en Buurtenstatistiek via OData (gratis, geen sleutel). De data is per definitie geanonimiseerd op buurtniveau — geen individuen, geen huishoudens.

Politie Open Data biedt geregistreerde misdrijven per buurtcode (BU + 8 cijfers), in 14 categorieën. Data is geaggregeerd per maand en buurt — geen incidenten, geen verdachten, geen adressen.

EP-Online wordt beheerd door de Rijksdienst voor Ondernemend Nederland (RVO) en bevat de officiële energielabels per BAG-adres. Een energielabel is een eigenschap van het gebouw, niet van een bewoner.

Publieke Dienstverlening Op de Kaart (PDOK) ontsluit de Locatieserver voor geocoding, de BAG OGC API voor adres- en gebouwregistratie en de CBS Wijken-laag. Allemaal gratis, zonder sleutel, en gehost binnen Nederland.

Voor adres-autocompletering gebruiken we Google Places. Dit is een Amerikaanse dienst — wij vermelden dat eerlijk. We sturen alleen de gedeeltelijke adresstring naar Google; we slaan geen autocomplete-resultaten op en koppelen ze niet aan een gebruiker. Zodra een adres is gekozen, wordt verdere geocoding via PDOK gedaan.

Een rapportverzoek doorloopt een transparante keten:

1. 1Browser (gebruiker) → versleuteld over TLS 1.3
2. 2Biedradar-server bij EU-hostingprovider → request fan-out
3. 3Externe NL-API's (Kadaster, CBS, Politie, EP-Online, PDOK) over EU-netwerk
4. 4Antwoorden samengevoegd, gecached in SQLite (NL) / Redis (DE)
5. 5Respons retour naar browser over TLS 1.3

Backups van de applicatie en database draaien binnen de EER bij onze EU-hostingprovider. Backupvolumes zijn versleuteld in rust (AES-256). Er worden geen backups buiten de EER gerepliceerd. Retentiebeleid: zie het privacybeleid.

We werken met de volgende subverwerkers; allen onder schriftelijke afspraken die EU-grondrechten waarborgen:

• EU-hostingprovider — hosting, database, backups binnen de EER. Verwerkersovereenkomst, versleuteling at-rest (AES-256).
• Upstash (DE-regio) — Redis-cache, rate-limiting. EER-hosting, geen export.
• Google Places (US) — uitsluitend adres-autocomplete; geen koppeling aan persoonsaccount; alleen gedeeltelijke zoekstrings.

Onze hostingprovider levert versleuteling at-rest en fysieke beveiliging op infrastructuurniveau. Biedradar zelf heeft op dit moment geen externe pentest — we zijn daar transparant over. Een onafhankelijke security review staat op de roadmap zodra het gebruik dat rechtvaardigt.

Bij een datalek volgen we de procedure uit het privacybeleid en melden incidenten waar nodig binnen 72 uur bij de Autoriteit Persoonsgegevens. Betrokkenen worden geïnformeerd zodra dat juridisch vereist is.

Mochten we ooit een andere region of provider toevoegen of vervangen, dan kondigen we dat vooraf aan op deze pagina. Een verschuiving buiten de EER zou alleen plaatsvinden met een passend doorgiftekader en expliciete vermelding.

We geloven dat Nederlandse data in Nederland hoort. Door te kiezen voor lokale infrastructuur garanderen we dat jouw woninganalyses niet onderworpen zijn aan buitenlandse wetgeving of surveillance-programma's.

Vragen of opmerkingen over data-soevereiniteit? Open een GitHub-issue in onze repository — we reageren publiek en transparant.