Infrastructuur, rechtsgebied en overheidstoegang

Pseudonymizer is een dataverwerkingsdienst in de zin van de Data Act (Verordening (EU) 2023/2854). Artikel 28 van die verordening vraagt ons op onze website te vermelden onder welk rechtsgebied de ICT-infrastructuur valt waarmee wij je gegevens verwerken, en welke maatregelen wij nemen om te voorkomen dat overheden van buiten de EU zich toegang verschaffen tot gegevens waar het EU-recht dat niet toestaat. Deze pagina geeft die informatie. Wijzigingen melden wij hier en, voor zakelijke klanten, volgens artikel 6 van de verwerkersovereenkomst.

Wie de dienst levert

Litic B.V., handelend onder de naam Litic AI, Uitbreidingstraat 84, 2600 Antwerpen, België, ondernemingsnummer 0817.919.143, btw-nummer BE0817919143. Wij vallen onder Belgisch recht en het recht van de Europese Unie, waaronder de AVG en de Data Act. Vragen: privacy@litic.ai of +31 (0)40 369 00 28.

Rechtsgebied van de infrastructuur

De verwerking en opslag van je gegevens vinden plaats binnen de Europese Unie. Wij gebruiken daarvoor de leveranciers hieronder; de lijst van subverwerkers voor de documentverwerking is gelijk aan Bijlage 3 van de verwerkersovereenkomst. Voor leveranciers die buiten de EU zijn gevestigd staat vermeld onder welk doorgiftemechanisme uit hoofdstuk V van de AVG zij werken.

Onderdeel	Leverancier	Locatie van de verwerking	Rechtsgebied van de leverancier en doorgiftemechanisme
Authenticatie, database en serverfuncties	Supabase (Supabase Pte. Ltd)	Opslag en primaire verwerking in de EU-regio van ons project	Singapore; EU-standaardcontractbepalingen (module 3) in de verwerkersovereenkomst van Supabase
Hosting van de webapplicatie	Vercel	EU-regio Frankfurt; wereldwijd netwerk voor statische bestanden (code en afbeeldingen, geen documentinhoud)	Verenigde Staten; EU-VS Data Privacy Framework (gecertificeerd) en EU-standaardcontractbepalingen
Herkennen van persoonsgegevens (AI)	OpenRouter en de via OpenRouter gekozen AI-aanbieder	Prompts en antwoorden via eu.openrouter.ai verwerkt in Europa (EU/EER, Verenigd Koninkrijk of Zwitserland), zonder dataretentie bij de AI-aanbieder	Verenigde Staten; de account- en operationele gegevens van Litic AI (authenticatie, beveiligingslogs) kunnen in de VS worden verwerkt; adequaatheidsbesluiten (VK, Zwitserland) en EU-standaardcontractbepalingen
OCR van gescande documenten	Mistral AI	EU (Frankrijk)	Frankrijk; geen doorgifte
Bescherming tegen geautomatiseerd misbruik bij aanmelden en inloggen	Cloudflare (Turnstile)	EU/wereldwijd; alleen technische browser- en apparaatgegevens, geen documentinhoud	Verenigde Staten; EU-standaardcontractbepalingen en EU-VS Data Privacy Framework
Betalingen en btw-berekening	Stripe	EU-entiteit van Stripe; alleen account-, factuur- en betaalgegevens, geen documenten	Stripe-groep (Ierland en Verenigde Staten); EU-standaardcontractbepalingen en EU-VS Data Privacy Framework
Bevestigings- en herroepingsmails	E-maildienst met verwerking binnen de EU	EU	EU-leverancier

Samengevat kan buiten de EU alleen het volgende worden verwerkt: de account- en operationele gegevens van Litic AI bij OpenRouter; verzoeken om statische bestanden van de webapplicatie via een netwerklocatie van Vercel buiten de EU; de technische controlegegevens van Cloudflare Turnstile; en betaalgegevens binnen de Stripe-groep. Documentinhoud, legenda’s en resultaten blijven binnen de EU, behalve wanneer je zelf een ontvanger buiten de EU kiest (zoals een verzending naar ChatGPT of Claude): die verwerking valt buiten onze infrastructuur en onder jouw overeenkomst met die ontvanger.

Maatregelen tegen overheidstoegang van buiten de EU

Zo min mogelijk opslag. Documenten die je via de webapp verwerkt, slaan wij niet op: de vervanging gebeurt in je browser en de detectie verwerkt de tekst alleen tijdens de verwerking. Resultaten van API- en MCP-opdrachten en pakketten voor grote verzendingen worden na maximaal 24 uur automatisch verwijderd. De legenda verlaat de dienst niet bij een verzending.
Verwerking in de EU. Opslag en primaire verwerking gebeuren bij alle leveranciers in de EU. Waar een leverancier buiten de EU is gevestigd, gelden de EU-standaardcontractbepalingen of het EU-VS Data Privacy Framework. De standaardcontractbepalingen verplichten de leverancier om een verzoek van een overheid te toetsen, ons te informeren waar dat mag en onrechtmatige of te ruime verzoeken aan te vechten.
Versleuteling. Al het verkeer tussen jou, de dienst en onze leveranciers is versleuteld (TLS); opgeslagen gegevens zijn bij onze leveranciers versleuteld in rust. Toegangscodes van derden (zoals ChatGPT-tokens) staan versleuteld opgeslagen (AES-256-GCM) met de sleutel buiten de database; API-sleutels en toegangscodes van verbonden apps alleen als onomkeerbare hash.
Beleid bij verzoeken van overheden. Wij geven gegevens alleen af als een wettelijke verplichting naar het recht van de EU of van België ons daartoe dwingt, of op grond van een bindend bevel van een bevoegde rechter of autoriteit in de EU. Een verzoek van een overheid van buiten de EU honoreren wij alleen als het via een door het EU-recht erkende weg loopt, zoals een internationaal rechtshulpverdrag (artikel 48 AVG). Elk verzoek toetsen wij op rechtsgrond en omvang, wij verstrekken niet meer dan nodig, wij vechten onrechtmatige of onevenredige verzoeken aan en wij informeren de betrokken klant vóór de afgifte, tenzij de wet dat verbiedt; dan zo snel als het mag daarna. Wij leggen elk verzoek vast.
Toegangsbeheer en controle. Toegang tot productiesystemen is beperkt tot geautoriseerde medewerkers met tweefactorauthenticatie; ontwikkel- en productieomgevingen zijn gescheiden; beveiligingsrelevante gebeurtenissen worden gelogd zonder documentinhoud; de dienst wordt periodiek op beveiliging getoetst.
Transparantie. De lijst van subverwerkers en deze pagina zijn openbaar. Een nieuwe subverwerker of een verhuizing van de verwerking kondigen wij vooraf aan volgens artikel 6 van de verwerkersovereenkomst, zodat je bezwaar kunt maken.

Meer informatie

Zie de verwerkersovereenkomst (Bijlage 2: technische en organisatorische maatregelen; Bijlage 3: subverwerkers) en het privacybeleid. Overstappen naar een andere dienst of een eigen omgeving regelt artikel 13 van de algemene voorwaarden.