De shortener waar jouw DPO geen bezwaar tegen maakt.

Standaard in de EU-regio. De database, de analytics-store (klikstroom), de in-memory hot cache, objectopslag (assets), en back-ups bevinden zich allemaal in de EU-regio. Er wordt geen data gerepliceerd naar de VS of APAC, tenzij een beheerder de workspace bij het aanmaken expliciet vastzet op US East of Azië-Pacific - een bewuste, onomkeerbare keuze (workspaces migreren niet tussen regio's).

ISO 27001 is behaald. De SOC 2 Type II-audit loopt, met H2 2026 als streefdatum - de controlemaatregelen en het bewijs zijn al operationeel, de auditperiode is de bottleneck. We delen vandaag al Type 1-bewijs op verzoek onder NDA; Type 2-rapporten worden openbaar zodra ze klaar zijn. Trust Center op /trust volgt de actuele status.

Vooraf ondertekend en downloadbaar via /legal/dpa. De DPA verwijst naar onze lijst met subverwerkers op /legal/subprocessors als levend document; wijzigingen in subverwerkers geven klanten 30 dagen vooraf bericht. Als je redlines nodig hebt, is dat een gesprek voor een Business+-contract; de standaardvoorwaarden worden door EU-DPO's meestal zonder wijziging geaccepteerd.

Acht, voornamelijk gevestigd in de EU: compute + database-hosting (EU), edge compute voor APAC, versleutelde offsite back-ups (EU), transactionele e-mail (EU + VS), kaartbetalingen + acquiring (EU/UA), optionele cryptobetalingen (VS), een offline IP-naar-land-dataset (geen PII gedeeld), en een CAPTCHA- + on-demand-TLS-provider (wereldwijd met EU-regionale routering). De volledige, met naam genoemde lijst met locatie en doel voor elk staat op /legal/subprocessors. Het toevoegen van een subverwerker leidt tot een melding van 30 dagen vooraf aan klanten; we voegen ze niet stilletjes met terugwerkende kracht toe.

Ja, op de self-hosted editie. SaaS Elido versleutelt at rest met AWS KMS (per regio) en in transit met TLS 1.3; we ondersteunen momenteel geen door de klant beheerde KMS op de multi-tenant SaaS. Self-host (Helm chart, Apache 2.0-licentie) laat je verwijzen naar je eigen KMS / Vault / HSM.

Bevestigde datalekken met persoonsgegevens: melding aan de klant binnen 24 uur, melding aan de toezichthouder binnen 72 uur (GDPR art. 33). De melding dekt wat we op dat moment weten; we wachten niet op volledig forensisch onderzoek. Het proces staat in ons Trust Center op /trust/incident-response.

We handelen in opdracht van de verwerkingsverantwoordelijke (jij, de klant). Eindgebruikers nemen contact met jou op; jij stuurt het verzoek door via het dashboard of de API en wij handelen het af. We accepteren geen rechtstreekse DSAR's van eindgebruikers, omdat we geen manier hebben om hen te authenticeren als betrokkene binnen jouw workspace - die authenticatie is van jou.

Nee. De log is alleen-toevoegen op databaseniveau; zelfs onze eigen beheerders kunnen historische vermeldingen niet bewerken. Het verwijderen van oude vermeldingen na de bewaartermijn is geautomatiseerd en logt een meta-event 'retention purge', zodat het gat zelf controleerbaar is. Manipulatie in real time zou een inbraak op databaseniveau vereisen die onze applicatiecode omzeilt - hetzelfde dreigingsmodel als elke andere tabelcorruptie - gedekt door RLS en onze SOC 2-controles.

Ja - security.txt op /.well-known/security.txt; beleid voor gecoördineerde openbaarmaking op /trust/disclosure. Het bug-bountyprogramma loopt via HackerOne (privéprogramma; neem contact op via [email protected] voor een uitnodiging als je een niet-gemelde bevinding hebt).

Volledige data-export op elk moment via de API of een eenmalig supportverzoek. JSON + CSV-bundel met links, klik-events (ruw of samengevoegd, jouw keuze), audit-log, leden, instellingen, branding. Na het einde van het contract bewaren we de data 30 dagen voor herstel bij per ongeluk opzeggen, en verwijderen we deze daarna definitief uit de primaire database, replica's en back-ups. We kunnen een schriftelijke verwijderingsbevestiging afgeven als jouw DPA dat vereist.