Infrastructuur

Gehost in Europa. Duidelijke verantwoordelijkheid in Europa.

Holdstill houdt de primaire opslag, verwerking en back-ups voor het opleveren van galerijen in regio’s binnen de Europese Unie, tenzij contractueel anders is vastgelegd. Deze pagina legt praktisch uit wat ‘EU-hosting’ betekent voor fotografen, studio’s en zakelijke klanten: waar de bytes staan, hoe we over subverwerkers denken, hoe back-ups en verwijdering samengaan met residentie, hoe we due-diligencevragenlijsten beantwoorden en hoe optionele onderdelen zoals transactionele e-mail of AI-inferentie dezelfde lijn volgen. Ze vult onze privacyverklaring en de verwerkersovereenkomst aan en moet samen daarmee worden gelezen.

Wat EU-residentie betekent voor jouw galerijen

Als we zeggen dat originelen en afgeleide bestanden in de EU blijven, bedoelen we dat objectopslag, rekenregio’s voor transcodering en bundeling, en databases met galerijmetadata en toegangsregels zich bevinden in benoemde EU-datacenters van de aanbieders waarmee we werken. We spiegelen jouw originelen niet stilletjes naar CDN’s op meerdere continenten om een paar milliseconden te winnen. Edgediensten dichter bij bezoekers zijn zo ingesteld dat jouw beeld niet buiten goedgekeurde regio’s wordt opgeslagen; waar tijdelijke cache bestaat, is die in tijd beperkt en intern gedocumenteerd.

Waarom residentie telt voor jouw klanten

Zakelijke en publieke klanten vragen steeds vaker waar bruilofts-, portret- of campagnebeelden staan — niet alleen in welk land je studio zit, maar ook welke cloudregio de back-ups host en wie in de keten van subverwerkers toegang heeft. Een duidelijke EU-positie maakt antwoorden eenvoudiger in aanbestedingen, contracten met scholen en discussies over aansprakelijkheid onder de AVG. De architectuur van Holdstill is bewust terughoudend: minder regio’s, minder verrassingen, en schriftelijke toezeggingen die je kunt toevoegen aan je eigen privacyverklaringen wanneer je subverwerkers beschrijft.

Subverwerkers en transparantie

We houden een beknopte lijst bij van categorieën zoals cloudinfrastructuur, transactionele e-mail, observability en optionele AI-inferentie. Elke vermelding bevat een beschrijving van de functie en de regio die relevant is voor persoonsgegevens bij het opleveren van galerijen. We informeren klanten vooraf over wezenlijke wijzigingen, zodat je je verwerkingsregister kunt bijwerken en bezwaar kunt maken bij zwaarwegende privacyredenen. We verschuilen ons niet achter onbenoemde ‘vestigingen’ in plaats van echte technische verantwoordelijkheid.

Back-ups, redundantie en verwijdering

Back-ups zijn versleuteld, staan onder dezelfde residentiebelofte als de productieomgeving en roteren volgens schema’s die hersteldoelen en dataminimalisatie in evenwicht houden. Wanneer je een galerij of bestand verwijdert, worden actieve objecten snel verwijderd en verlopen back-upkopieën binnen gedocumenteerde termijnen in plaats van onbeperkt te worden bewaard. We gebruiken geen kopieën buiten de EU voor primaire productgegevens. Mocht de architectuur dat ooit vereisen, dan passen we deze pagina, de verwerkersovereenkomst en de klantmededelingen vooraf aan.

Doorgiften en juridische mechanismen

Als een strikt noodzakelijke subverwerker in beperkte mate persoonsgegevens buiten de EER zou verwerken — bijvoorbeeld bij een zeldzame failover — baseren we ons op adequaatheidsbesluiten, standaardcontractbepalingen en aanvullende technische maatregelen zoals versleuteling en strikte toegangsgrenzen. Waar passend documenteren we doorgiftetoetsingen en kunnen we onder geheimhouding een samenvatting leveren aan inkoopteams van zakelijke klanten.

Prestaties zonder concessies aan residentie

Europese hosting hoeft niet traag aan te voelen. We optimaliseren transcoderingspipelines, beeldweergave en transport, zodat galerijen ook op de gangbare mobiele netwerken op een evenementlocatie vlot openen. Waar wereldwijde anycast-DNS of statische marketingpagina’s de beschikbaarheid verbeteren, wordt die laag geen omweg om opdrachten op te slaan in niet-genoemde rechtsgebieden.

AI en e-mail binnen hetzelfde residentieverhaal

Optionele AI-inferentie is gebonden aan EU-regio’s of aan in de EU gevestigde aanbieders die in de AI-voorwaarden worden beschreven. Aanbieders van transactionele e-mail kiezen we op betrouwbaarheid en aansluiting bij de verwerkersovereenkomst; berichten bevatten alleen wat jij verstuurt. Geen enkel onderdeel bouwt er los van staande advertentiedatasets op.

Logging, monitoring en toegang

Operationele logs die persoonsgegevens kunnen bevatten, worden opgeslagen in EU-regio’s, met toegangscontrole en een bewaartermijn die past bij wat beveiligings- en complianceonderzoeken redelijkerwijs vereisen. Toegang door support volgt het principe van minimale rechten en wordt vastgelegd. We bieden geen toegangspunten voor opsporingsinstanties buiten rechtsstatelijke procedures om en wijzen te ruime verzoeken af waar de wet dat toestaat.

Enterprise en implementaties op maat

Signature-klanten met specifieke behoeften kunnen aanvullende contractuele toezeggingen afspreken: benoemde regio’s, strengere goedkeuringsdrempels voor subverwerkers of bewaarschema’s die op het product zijn afgestemd. Eenmaal ondertekend vullen zulke voorwaarden deze pagina aan voor die specifieke klant.

Due diligence en vragenlijsten

Stuur je vragenlijst over beveiliging en residentie naar privacy@holdstill.app. We antwoorden schriftelijk en gedetailleerd in plaats van generieke marketing-pdf’s door te sturen. Gebruikelijke stukken zijn lijsten van subverwerkers, architectuuroverzichten en samenvattingen van recente tests. Een eerste antwoord volgt binnen enkele werkdagen; complexe beoordelingen kunnen meerdere rondes vergen.

Wat we van jou verwachten

Of uitspraken over residentie in je eigen klantcontracten kloppen, hangt af van hoe je het product configureert en welke integraties je buiten Holdstill toevoegt. Exporteer je naar tools buiten de EU, dan valt die verwerking buiten onze controle en moet je die apart vermelden. Houd de e-mailadressen van je account actueel, zodat we je kunnen informeren over wezenlijke wijzigingen in de infrastructuur.

Minimale telemetrie

Producttelemetrie voor de betrouwbaarheid van functies wordt waar mogelijk geaggregeerd en vermijdt berichtinhoud of beeldpixels, tenzij je die zelf deelt in een expliciet supporttraject. IP-adressen in logs worden ingekort of geroteerd volgens schema’s die beveiligingsonderzoek ondersteunen, in plaats van onbeperkte gedragsdossiers aan te leggen.

Onderhoudsvensters en veerkracht

Gepland onderhoud kan de beschikbaarheid kort beïnvloeden; we plannen het waar mogelijk buiten het drukke bruiloftsseizoen en publiceren statusupdates. Een failover binnen de EU kan actieve verwerking tussen beschikbaarheidszones verplaatsen, zonder dat de hier beschreven residentieverplichtingen veranderen.

Portabiliteit, exports en een pijnloze overstap

Residentie heeft weinig waarde als je je originelen en metadata niet intact kunt meenemen. Holdstill biedt exportroutes die bestanden, de structuur van je galerijen en samenvattingen van toegangsinstellingen bundelen, geschikt voor migratie naar een andere stack of een koud archief. Exports worden aangemaakt vanuit dezelfde EU-regio’s als de productieomgeving, zodat bestanden niet opportunistisch via derde landen reizen. We documenteren de verwachtingen rond checksums en de bewaartermijn van exporttaken, zodat je IT-team de opleveringen kan controleren. Voor een eenmalige volledige extractie bij een bedrijfsafsplitsing mail je naar privacy@holdstill.app met de omvang: we plannen dan een venster dat rekening houdt met rate limits en het opslagbeleid aan jouw kant.

Scholen, ngo’s en herbruikbare aanbestedingsteksten

Publieke en maatschappelijke organisaties plakken antwoorden van leveranciers vaak rechtstreeks in aanbestedingsdocumenten. Daarom formuleren we residentie zorgvuldig: benoemde regio’s, benoemde categorieën subverwerkers en een uitdrukkelijke afwijzing van stille replicatie van originelen naar meerdere continenten. Vraagt je vragenlijst om stroomdiagrammen, dan leveren we vereenvoudigde weergaven die verkeer naar de marketingsite scheiden van verkeer voor het opleveren van galerijen, zodat beoordelaars statische pagina’s niet verwarren met klantbeelden. Als een clausule in je sjabloon in strijd is met de technische werkelijkheid, melden we dat vroeg in plaats van vage taal te ondertekenen die je adviseurs bij een audit niet kunnen verdedigen.

Integraties van de fotograaf en grenzen van de scope

De EU-positie van Holdstill geldt voor verwerking binnen de grenzen van het product. Koppel je een CRM, facturatie of retouche buiten de EU, dan moet je die gegevensstromen in je eigen privacyverklaringen vermelden. We tonen webhooks en API-bestemmingen duidelijk in de instellingen, om het onbedoeld doorsturen van persoonsgegevens naar ongecontroleerde endpoints moeilijker te maken. Voor first-party-integraties geldt dezelfde discipline rond subverwerkers als in onze verwerkersovereenkomst. Heb je contractueel de garantie nodig dat een bepaalde integratie nooit pixels buiten de EU opslaat, vraag dan om een schriftelijke bijlage die beperkt is tot die specifieke integratie.