Digitale huur of digitale eigendom — kies je stack.
EU-MKB en publieke sector draaien op een lappendeken van overwegend US-tools. Onder de CLOUD Act kunnen Amerikaanse autoriteiten data eisen die in beheer is van een US-rechtspersoon — ook als die data fysiek in Frankfurt of Dublin staat. Dat is geen soevereiniteit. Dat is digitale huur.
RighettiOS is anders gebouwd. Eén systeem. EU-eigendom. Hetzner DE-gehost. Mollie payments. Brevo mail. ECB-rates. Geen AI-training op klantdata. Geen vendor-lock-in. Wat erin gaat, blijft in Europa.
Vier observaties die we niet meer kunnen negeren.
Soevereiniteit is geen marketing-term. Het is een juridische, infrastructurele en contractuele werkelijkheid. Hier is hoe wij die werkelijkheid wegen.
CLOUD Act (18 U.S. Code § 2713)
Amerikaanse autoriteiten kunnen data vorderen die in beheer is van een US-rechtspersoon, ongeacht waar de servers staan. Dat geldt voor Amazon, Google, Microsoft, Salesforce, Dropbox — ook als hun EU-regio in Frankfurt draait. Niet weg te contracteren.
Schrems II (CJEU C-311/18, 2020)
Het Hof oordeelde dat standaard data-transfers van EU naar VS onvoldoende beschermd zijn. Standard Contractual Clauses lossen het CLOUD Act-conflict niet op. Voor gereguleerde sectoren is de juridische rest-onzekerheid materieel.
Digitale huur
Wie op US-cloud bouwt, huurt zijn eigen administratie. Feature-roadmap, prijs en jurisdictie worden eenzijdig bepaald door de aanbieder. Migratie kost maanden, soms jaren. Lock-in is geen toeval — het is het verdienmodel.
Onze tegenhanger
Eén systeem. EU-eigendom. Hetzner DE. Mollie NL. Brevo FR. ECB rates. Geen AI-training op klantdata. Data-portability altijd-aan (CSV/JSON/XAF/UBL/Peppol/PDF-A). Wat erop gebouwd wordt, wordt in Europa bedacht.
Zes componenten. Allemaal in Europa.
Geen Amazon AWS. Geen Microsoft Azure. Geen Google Cloud. Geen Stripe. Geen Zoom. Geen DocuSign. Geen Sentry.io.
Geen pad in deze keten verlaat de Europese Unie. E-mail-notificatie via Brevo (FR). Betaal-webhook via Mollie (NL). Dat is alles.
Zes nullen die er toe doen.
De CI-pipeline scant elke deploy op verboden vendors (AWS-SDK, Stripe, Google Analytics, Firebase, Vercel-managed-DB, Sentry.io, etc.). Een match blokkeert de deploy. Bron-script: scripts/eu-sovereignty-check.ts. Live data-residency-claim: GET /api/platform/data-residency.
Hoe we kaders technisch invullen.
Geen audit-keurmerken op de homepage. Wel een eerlijke mapping van waar we staan per kader, met de exacte controle die het invult.
GDPR / AVG
Verordening 2016/679NEN-7510
Informatiebeveiliging in de zorgISO 27001
Information security managementNIS2 + DORA
EU 2022/2555 + EU 2022/2554BIO
Baseline Informatiebeveiliging Overheid (NL)Externe audit-keurmerken (ISO 27001, NEN-7510 stage-1, BIO-scan) zijn meerjarenpaden. Tot certificering documenteren we de architectuur en mappen we per controle — conform de eis van de meeste enterprise-procurement-trajecten.
Twaalf categorieën. Twaalf bewuste keuzes.
Voor elke leverancier-categorie hebben we een EU-equivalent uitgekozen of zelf gebouwd. Niet één US-vendor sluipt langs als "voor nu".
Wie hier baat bij heeft.
Per sector een aparte pagina met persona, workflow, compliance-mapping en pijnpunten — zodat procurement zonder telefoontje kan oordelen.
Beroepsgeheim is wettelijk absoluut. Onder CLOUD Act-blootstelling wordt het feitelijk niet houdbaar. RighettiOS past in een NOvA-conforme inrichting met 2FA-enforcement, IP-allowlist en HMAC-chained audit.
Studentdata vraagt om EU-residency en SURF-conforme verwerking. Werkplek-per-rol voor docent/student/admin. Geen profiling-cookies. Drive met classification-cascade voor toetsmateriaal.
BIO-baseline + NL-Cloud-richtlijnen vragen sovereign-architectuur. Plus: HR-OR + lokaal overleg + CAO Gemeenten H12 native ingebouwd voor de personeelskant.
NEN-7510-pad + AVG art. 9. Praktijkvoering, niet EPD. Rooms voor MDO. Drive met classification voor cliënt-context. BIG-registratie-tracking voor zorgprofs.
Vier niveaus van isolatie en controle.
Hetzelfde product. Verschillend deployment-profiel. Hoe hoger het niveau, hoe meer isolatie + controle — en hoe hoger de prijs. Eerste twee niveaus zijn direct te gebruiken.
Standaard SaaS
Multi-tenant op Hetzner DE. Cloudflare aan (optioneel uit). Sentry optioneel. Geschikt voor MKB zonder sector-specifieke compliance-eisen. Zelfde codebase als alle hogere niveaus.
Sovereign SaaS
Multi-tenant maar zónder US-dependencies: Cloudflare uit, Sentry uit, geen optionele US-integraties. Eén env-set schakelt dit om. Voor scale-ups die soevereiniteit zonder private-instance-kost willen.
Private instance
Single-tenant: eigen database, eigen Redis, eigen object-storage, eigen URL. Volledige isolatie van andere klanten. Customer-Managed Keys (BYOK) mogelijk. Voor overheid, zorg, onderwijs, legal en enterprises die contractueel geen shared infrastructure mogen gebruiken.
On-prem of klant-VPC
Volledige on-prem- of VPC-deployment bij klant (eigen Hetzner-account of interne cluster). Beschikbaar voor enterprise-klanten met ≥1000 users en eigen support-contract.
Wat procurement aanzet voor een handtekening.
Elk van deze bewijsstukken is real-time uit het product te halen — niet een PDF van vorig jaar.
Vragen die procurement het eerst stelt.
Wat is de CLOUD Act precies, en wat betekent het voor onze data?
De CLOUD Act (18 U.S. Code § 2713, 2018) verplicht US-bedrijven om data te overhandigen op verzoek van Amerikaanse autoriteiten — ongeacht waar de servers staan. Dat geldt voor AWS, Azure, Google Cloud, Salesforce, Dropbox, ook als hun EU-regio in Frankfurt of Dublin draait. RighettiOS wordt gehost op Hetzner (DE-rechtspersoon) en gebruikt geen US-cloud-provider in de keten. Daardoor geen materiële CLOUD Act-blootstelling.
Schrems II — wat veranderde dat?
Het Hof van Justitie EU oordeelde in 2020 (CJEU C-311/18) dat standaard data-transfers naar de VS onvoldoende beschermd zijn onder GDPR. Standard Contractual Clauses verkleinen het probleem maar lossen het niet op zolang de US CLOUD Act bestaat. Voor gereguleerde sectoren (overheid, zorg, onderwijs, legal) is dat juridisch rest-risico materieel. RighettiOS vermijdt dit door volledig binnen de EU te blijven.
Kan onze data ooit de EU verlaten?
Nee, niet zonder expliciete opt-in en DPO-review per geval. Standaard-stack is volledig EU. De CI-pipeline blokkeert deploys met US-vendors. GET /api/platform/data-residency toont per dataset de fysieke locatie. Backup-strategie is geo-redundant binnen de EU (Hetzner Falkenstein + Hetzner Helsinki of vergelijkbaar EU-EU).
Hoe weten we dat de stack zegt wat hij zegt?
Drie bewijsstukken: (1) sub-processor-registry op /subprocessors met naam, locatie en doel van elke verwerker; (2) live data-residency-API; (3) audit-export met HMAC-chain als cryptografisch onweerlegbaar logboek. Voor enterprise-procurement leveren we daarnaast compliance-PDF-bundle (DPA · DPIA · sub-processor-snapshot · audit-export).
Wat als jullie ooit een sub-processor wijzigen?
30 dagen vooraf aangekondigd via SubProcessorNotification (AVG art. 28). Klanten kunnen binnen die 30 dagen objectie aantekenen. Voor enterprise-tier wordt notificatie ook per e-mail naar de DPO gestuurd. Wijziging zonder vooraankondiging is contractueel verboden.
Hoe loopt het DPA-proces?
Voor MKB: standaard-DPA wordt bij sign-up geaccepteerd, met audit-trail per versie. Voor enterprise: jouw DPA-template uploaden in de workspace; wij review + accepteren binnen 5 werkdagen. Sectorale DPA-annex voor overheid (BIO/Wdo), zorg (NEN-7510 / AVG art. 9), onderwijs (SURF / AVG-onderwijs), legal (NOvA / Wna).
Krijgen we een data-export bij vertrek?
Altijd-aan, geen "premium-tier voor export". CSV/JSON/XAF/UBL/Peppol-BIS/PDF-A. Workspace-export schema v1 levert een complete JSON-bundle van de hele workspace. Per-resource exports (invoices, tasks, contacts, time, journals) los beschikbaar. Geen termijn — opzegbaar zonder boete.
Wat als RighettiOS zelf wordt overgenomen door een US-partij?
Statutair vastgelegd: NL-rechtspersoon onder NL-recht. Bij elke transactie wordt de EU-soevereiniteits-clausule meegegeven. Mocht dat ooit veranderen, dan krijgen klanten 30 dagen vooraf notificatie + complete data-export op kosten van RighettiOS. Lock-in is geen verdienmodel hier.
"EU-soeverein is geen feature. Het is het uitgangspunt."
— interne DNA-richtlijn nr. 1
Enterprise features · Security · Regelgeving · Waarom niet AWS