GDPR en AI: Waarom Compliance Cruciaal Is
De Algemene Verordening Gegevensbescherming (GDPR/AVG) is de strengste privacywetgeving ter wereld. Met boetes tot 4% van de wereldwijde jaaromzet, is GDPR compliance geen optie - het is een noodzaak.
AI-systemen verwerken vaak persoonsgegevens: klantvragen aan chatbots, documenten met namen en adressen, medische gegevens voor analyse. Elk van deze use cases valt onder de GDPR en vereist zorgvuldige aandacht voor data protection.
De Uitdagingen van AI en GDPR
Internationale Data Transfers
De meeste AI providers (OpenAI, Anthropic, etc.) zijn Amerikaans en verwerken data in de VS. Na Schrems II is data transfer naar de VS juridisch complex:
- Privacy Shield is ongeldig verklaard
- Standard Contractual Clauses (SCCs) vereisen aanvullende waarborgen
- De CLOUD Act ondermijnt technische bescherming
Onduidelijke Dataverwerking
Veel AI providers zijn onduidelijk over:
- Hoe lang data bewaard wordt
- Of data gebruikt wordt voor model training
- Welke sub-verwerkers toegang hebben
- Waar data precies wordt verwerkt
Gebrek aan Controle
Als verwerkingsverantwoordelijke ben jij verantwoordelijk voor compliance, maar bij cloud AI providers heb je weinig controle over hoe data daadwerkelijk wordt verwerkt.
Hoe HostYourAI GDPR Compliance Garandeert
1. Data Blijft in de EU
Al onze datacenters bevinden zich in de Europese Unie:
- Amsterdam, Nederland
- Frankfurt, Duitsland
- Parijs, Frankrijk
- Helsinki, Finland
Er is geen data transfer naar derde landen. Jouw data verlaat nooit de EU.
2. Nederlands Bedrijf, Geen CLOUD Act
HostYourAI B.V. is een Nederlands bedrijf, volledig onder Nederlandse en EU jurisdictie. We vallen niet onder de Amerikaanse CLOUD Act of andere buitenlandse wetgeving die toegang tot data zou kunnen afdwingen.
3. Privacy by Design
Onze infrastructuur is ontworpen met privacy als uitgangspunt:
- Dedicated instances: Je data wordt nooit gemixed met andere klanten
- Standaard geen logging: We loggen geen prompts of outputs tenzij jij dit configureert
- Encryptie overal: AES-256 at rest, TLS 1.3 in transit
- Minimale data retention: Technische logs worden na 30 dagen gewist
4. Complete Verwerkersovereenkomst (DPA)
We bieden een complete Data Processing Agreement die voldoet aan artikel 28 GDPR:
- Duidelijke omschrijving van verwerkingsdoeleinden
- Gespecificeerde sub-verwerkers
- Beveiligingsmaatregelen
- Audit rechten
- Data breach notificatie procedures
- Data verwijdering bij beëindiging
De DPA is direct beschikbaar in je dashboard na registratie.
5. Sterke Beveiliging
Onze security is robuust en volgt best practices:
- GDPR Compliant: Volledige naleving van de Europese privacywetgeving
- Encryptie: AES-256 voor data at rest, TLS 1.3 voor data in transit
- Toegangscontrole: Strikte access controls en monitoring
Technische Beveiligingsmaatregelen
Encryptie
- Data at rest: AES-256 encryptie voor alle opgeslagen data
- Data in transit: TLS 1.3 voor alle netwerkcommunicatie
- Key management: Strikte key rotation en access controls
Toegangscontrole
- Role-based access control (RBAC)
- Multi-factor authenticatie voor alle accounts
- API key management met fine-grained permissions
- Audit logging van alle access
Netwerk Beveiliging
- Dedicated VLANs per klant
- Firewall bescherming
- DDoS mitigatie
- Intrusion detection systemen
Fysieke Beveiliging
- Beveiligde EU-datacenters
- 24/7 bewaking en toegangscontrole
- Biometrische toegang tot serverruimtes
- Redundante stroomvoorziening en koeling
GDPR Rechten van Betrokkenen
We ondersteunen je bij het naleven van de rechten van betrokkenen:
Recht op Inzage (Art. 15)
Op verzoek kunnen we een export leveren van alle data die we voor jou verwerken.
Recht op Rectificatie (Art. 16)
Account gegevens kunnen worden aangepast via het dashboard of door contact met support.
Recht op Verwijdering (Art. 17)
Bij beëindiging van je account worden alle gegevens binnen 30 dagen verwijderd, tenzij wettelijke bewaarplicht van toepassing is.
Recht op Dataportabiliteit (Art. 20)
Je kunt je data exporteren in een gangbaar formaat (JSON, CSV).
Sector-Specifieke Compliance
Gezondheidszorg
Onze GDPR compliance en strikte databeveiliging maken ons geschikt voor het verwerken van medische gegevens. We begrijpen de specifieke eisen van de zorgsector en kunnen aangepaste DPAs leveren.
Financiële Sector
We voldoen aan de eisen voor financiële dienstverleners, inclusief sterke authenticatie, audit trails, en data integrity controls.
Overheid
Nederlandse overheidsinstanties kunnen met vertrouwen AI deployen wetende dat data onder Nederlandse jurisdictie blijft.
Veelgestelde Vragen over GDPR Compliance
Moet ik een DPIA uitvoeren voor het gebruik van HostYourAI?
Afhankelijk van je use case. Als je grootschalig persoonsgegevens verwerkt met AI, is een DPIA waarschijnlijk vereist. We kunnen informatie aanleveren voor je DPIA.
Wie is verwerkingsverantwoordelijke?
Jij bent verwerkingsverantwoordelijke voor de persoonsgegevens die je via onze dienst verwerkt. HostYourAI is verwerker.
Wat gebeurt er bij een data breach?
We melden datalekken binnen 24 uur aan getroffen klanten, zodat je aan je eigen meldplicht (72 uur) kunt voldoen.
Kan ik jullie datacenter auditen?
We delen graag onze beveiligingsdocumentatie. Voor enterprise klanten zijn on-site audits bespreekbaar.
Gebruiken jullie mijn data voor training?
Nee, nooit. Je prompts en outputs worden niet gebruikt voor enige vorm van model training of verbetering.
Start met GDPR Compliant AI
Klaar om AI te gebruiken zonder compliance zorgen? Maak een gratis account aan en download direct onze verwerkersovereenkomst.
Heb je specifieke compliance vragen? Ons team helpt je graag via info@hostyourai.com.