Verwerking van klantgegevens

Voor klanten die Echospring gebruiken: hier staat welke leveranciers betrokken zijn bij het verwerken van jouw content, waar zij staan en wat zij doen. De volledige verwerkersovereenkomst (DPA) is op te vragen via het contactformulier.

Subverwerkers

Leverancier	Locatie	Functie	Juridisch kader
Supabase	EU (Frankfurt)	Database, pgvector, edge functions, opslag van content en embeddings	DPA Supabase. Bedrijf is Delaware C-corp, valt formeel onder CLOUD Act. Mitigatie: data-encryption at rest, geen US-region in productie, AVG-compliant in praktijk
Anthropic	US (data-flow via EU-endpoint)	Generatie van antwoorden via Claude	Enterprise-DPA met Standard Contractual Clauses (SCCs). Geen training op klantcontent. Wij gebruiken geen training-fallback
Perplexity	US	Webonderzoek in maatwerkprojecten, zoals gastonderzoek en zoekfuncties in prototypes. Geen onderdeel van de standaard agent-keten	Alleen zoekvragen gaan naar Perplexity, geen klantcontent, embeddings of persoonsgegevens van bezoekers
Serper (serper.dev)	Niet openbaar; voorwaarden onder Brits recht, gegevens mogelijk buiten de EER	Zoekresultaten van Google voor monitors: nieuws over organisaties ophalen en organisaties en contactpersonen aanvullen	Zoekvragen kunnen namen van organisaties en personen bevatten, nooit je eigen materiaal. Serper noemt in zijn privacybeleid standaardcontractbepalingen voor doorgifte buiten de EER; een aparte verwerkersovereenkomst is niet gepubliceerd
Mistral	EU (Parijs)	Embeddings (tekst naar vector)	DPA Mistral, EU-bedrijf, geen US-jurisdictie
Gladia	EU (Parijs)	Transcriptie van audio en video	DPA Gladia, EU-bedrijf, geen US-jurisdictie
Scaleway	EU (Parijs)	Object Storage en optioneel sovereign-hosting (Spoor B)	DPA Scaleway, EU-bedrijf, sovereign-cloud-statement beschikbaar
Mailjet	EU (Parijs)	Transactional mail (service-mails, geen marketing)	DPA Mailjet, onderdeel Sinch Group, EU-data-center bevestigd
TransIP	EU (NL)	Hosting van de echospring.eu marketingsite, het embed-script (nginx) plus mail	DPA TransIP, NL-bedrijf

Kernpunten

Vier vragen die compliance-bewuste bezoekers stellen, vier korte antwoorden.

Wat blijft binnen de EU

Klantcontent, transcripten, chunks, embeddings, vector-zoekindex, query-logs en analytics. Alles op Supabase Frankfurt voor Spoor A of self-hosted EU-VPS voor Spoor B. Geen US-cloud in deze keten.

Anthropic als sub-verwerker

Bij elke vraag: prompt plus geselecteerde chunks naar Claude onder enterprise-DPA met SCCs. Niet de volledige database, niet de embeddings, geen persoonsgegevens van bezoekers. Geen training op klantcontent, geen training-fallback.

Monitors en persoonsgegevens

Een monitor leest alleen openbare bronnen en legt alleen vast wat nodig is: naam, functie en organisatie zoals die in het bericht staan. Grondslag is gerechtvaardigd belang. Om nieuws en achtergrond te vinden zoekt de monitor via Serper in Google; die zoekvragen kunnen de naam van een organisatie of contactpersoon bevatten. Gegevens blijven bewaard zolang het contract loopt, plus drie maanden, en worden daarna verwijderd.

Spoor B sovereign-variant

Anthropic vervangen door Mistral Large in Parijs of een andere EU-LLM. Volledige keten binnen de EU, zonder SCC-route via een US-bedrijf. Hogere setup-fee en maand-fee. Aanbevolen voor ministeries, NEN 7510-strenge zorg en juridische diensten.

Datalek-melding

Bij een datalek in onze keten informeren wij klanten binnen 24 uur. Procedure conform AVG-artikel 33 en 34. Contactpunt via /contact met onderwerp 'Anders' en duidelijke vermelding.