Infrastructuur en jurisdictie

1. Eigen website en managed serverhosting

Deze eigen website, de contact- en DSA-serverroutes en de versleutelde DSA-dossieropslag draaien op een zelfbeheerde KVM-VPS die Spiritualdesign afneemt bij Etheron Hosting, Ampèrestraat 11, 1817 DE Alkmaar, KvK 75539519. De publieke VPS-pagina van Etheron vermeldt Nederlandse hosting, dagelijkse back-ups en een back-upretentie van 14 dagen. De op 14 juli 2026 waargenomen servercapaciteit komt overeen met een publiek aangeboden pakket, maar bewijst niet welke productvariant contractueel is besteld. De exacte pakketnaam, fysieke primaire en back-uplocatie, subdienstverleners, restoreprocedure en geaccepteerde verwerkersovereenkomst moeten daarom nog uit het Etheron-account en contractdossier worden gearchiveerd.

Voor de hostingstroom kan Etheron verwerker zijn voor Spiritualdesign; voor eigen accountadministratie, beveiligingsdoeleinden of wettelijke verplichtingen kan Etheron zelfstandig verwerkingsverantwoordelijke zijn. De publieke voorwaarden van Etheron bepalen dat een afzonderlijke verwerkersovereenkomst wordt gesloten wanneer Etheron als verwerker optreedt. Managed productiehosting met klantgegevens wordt niet op deze leveranciersketen geactiveerd voordat de concrete dienstbijlage, rolverdeling en verwerkersafspraken volledig zijn bevestigd.

2. Domeinregistratie en DNS

Wanneer de klant nog geen domeinnaam heeft, kan Spiritualdesign registratie en technisch beheer via Hostinger regelen. De klant mag ook zelf registreren of een andere provider kiezen. De contractentiteit, registrar, registry, DNS-dienst en mogelijke jurisdicties verschillen per account en topleveldomein en worden per domein vastgelegd. Hostinger, registrar en registry zijn niet automatisch voor iedere handeling subverwerker: bij accountadministratie, wettelijke registratietaken of registryactiviteiten kunnen zij ook afzonderlijke ontvanger of zelfstandig verwerkingsverantwoordelijke zijn. De concrete account-, rol- en domeinketen is leidend.

3. Zakelijke e-mail

Spiritualdesign gebruikt Microsoft 365 Business Basic met Exchange Online voor zakelijke correspondentie. Het account toont een Microsoft Customer Agreement-aankooprelatie. De website gebruikt Microsoft Graph met certificaatauthenticatie; de toepassingsmachtiging is binnen Exchange beperkt tot het zakelijke postvak van Spiritualdesign. De actuele publieke versie van het Microsoft Products and Services Data Protection Addendum dateert van 22 mei 2026.

De daadwerkelijke huidige en toegezegde opslagregio is tenantspecifiek. Microsoft laat die zien in de Data Location Card van het Microsoft 365-beheercentrum. De geaccepteerde MCA-contractkopie, contractspartij, Data Location Card, toepasselijke subdienstverleners en concrete doorgiftewaarborg moeten nog in het interne dossier worden gearchiveerd. Daarom wordt geen specifieker opslagland of SCC-module als accountfeit genoemd en worden bijzondere, strafrechtelijke of extreem gevoelige bestanden niet via gewone e-mail gevraagd.

4. Maatregelen tegen onrechtmatige internationale overheidstoegang

• gegevensminimalisatie en scheiding van klant-, melder- en beheergegevens;
• TLS bij overdracht en versleuteling of pseudonimisering waar de dienst dit ondersteunt en het risico dit vereist;
• minimale toegangsrechten, unieke accounts en multifactorauthenticatie waar beschikbaar;
• voorafgaande leveranciers- en contractcontrole, inclusief DPA, subverwerkers en doorgiftemechanisme;
• beoordeling van ieder overheidsverzoek op bevoegdheid, noodzakelijkheid, reikwijdte en rechtsgeldigheid;
• aanvechten of beperken van een verzoek waar daarvoor redelijke gronden en wettelijke mogelijkheden bestaan;
• kennisgeving aan de klant waar de wet dit toestaat en registratie van verzoek, beoordeling en verstrekking;
• geen vrijwillige verstrekking van niet-persoonsgebonden EU-data aan een derde-landautoriteit wanneer dit in strijd zou zijn met Unie- of Nederlands recht.

5. Dienststatus en open verificatiepunten

Voor Etheron zijn de juridische identiteit, het gebruik van een zelfbeheerde VPS, de publieke Nederlandse hostingclaim en de publiek beschreven dagelijkse back-ups met 14 dagen retentie vastgesteld. Nog open zijn de exacte accountdienst, geaccepteerde verwerkersovereenkomst, fysieke server- en back-uplocatie, subdienstverleners, restore-, export- en definitieve verwijderprocedure. Het archiveren van de Etheron-verwerkersovereenkomst is een urgente actie voor de verwerking via deze eigen website.

Voor Microsoft zijn Business Basic, Exchange Online, de MCA-aankooprelatie, de beperkte Graph-mailmachtiging en de publieke DPA-versie vastgesteld. Nog open zijn de geaccepteerde contractkopie en contractspartij, de actuele en toegezegde tenantregio, toepasselijke subdienstverleners en de concrete doorgiftewaarborg. Deze open velden worden niet als ingevuld gepresenteerd. Zij blokkeren managed productiehosting met klantgegevens en het contractueel gebruiken van deze pagina als volledig ingevulde artikel-28-informatie, maar niet het eerlijk beschrijven van de huidige eigen websiteketen.