Wat we bewaren
- Je account: e-mail, naam, taalvoorkeur, plus accountstatus — tijdstempel van de leeftijdsbevestiging, tier, AI-budgetinstellingen en het per-gebruiker sleutelmateriaal dat je dagboek versleutelt
- Je master-CV-materiaal en eerdere briefvoorbeelden (de bron van elk concept)
- Je sollicitaties: vacatures, scores, concepten, verzonden versies, antwoorden
- Je dagboek: een per-gebruiker log van wat je hebt geprobeerd
- Je agenda-events, als je een agenda koppelt
- Je coachingoefening-output en ND-support-status (stemmings- en energiegeschiedenis), als je die functies gebruikt
- Je contactnetwerk en inkomende e-mails die voor antwoorden worden gevolgd, als je die functies gebruikt
- Stemvoorbeelden en opnames, als je die opneemt
- Optionele gevoelige velden die je expliciet zelf kiest op te geven
Dat is de lijst. We nemen niets op wat daarbuiten valt.
Waar het staat
Je gegevens staan in de EER, tweemaal: twee gesynchroniseerde kopieën op dedicated databasehosts in Noorwegen (gigahost.no AS), met een quorum-getuige in Nederland (Leiden, operator-beheerd) die de beslissende stem van het cluster uitbrengt en geen gebruikersgegevens bevat. De applicatieservers draaien apart, ook in Noorwegen, en bevatten geen database.
Het verlies van welke afzonderlijke host dan ook verliest geen gegevens. Als één databasehost down is, pauzeren writes tot hij terug is in plaats van ongerepliceerd door te draaien — we vertragen liever een write dan je gegevens in één kopie te houden.
Het opslagpad is uitsluitend EER. Er worden geen gebruikersgegevens bewaard op Amerikaanse hosting of in Amerikaanse datawarehouses. De applicatiedatabase, vectorstore, auditlog en back-ups staan allemaal binnen de EER (gigahost.no Noorwegen + operator-beheerd Leiden NL).
Edge- / netwerkroutingpad — vandaag drie anycast-POP’s, waarvan één buiten de EER. TLS-terminatie gebeurt door HAProxy op een anycast-pool van drie VPS-nodes: Zwitserland (Zürich, iFog GmbH), Noorwegen (Trondheim, gigahost.no AS) en de Verenigde Staten (Houston, Texas, iFog GmbH). Deze nodes zien in-flight verkeer alleen voor de duur van één TLS-verbinding; ze bewaren geen gegevens en houden niets at rest. De Noorse tak is intra-EER; de Zwitserse tak steunt op het adequaatheidsbesluit voor Zwitserland (Beschikking 2000/518/EG van de Commissie); de Amerikaanse tak is een doorvoertak via een derde land.
Voordat de managed tiers publiek opengaan, wordt de Amerikaanse POP van dit domein afgehaald en keert de pool terug naar alleen EER + Zwitserland. We publiceren de huidige toestand in plaats van de bedoelde, omdat een beveiligingspagina die een plan beschrijft alsof het een feit is erger is dan geen pagina.
Opslag blijft hoe dan ook uitsluitend EER. Er worden geen gebruikersgegevens bewaard op Amerikaanse hosting of in enig Amerikaans datawarehouse; de Amerikaanse node termineert TLS en stuurt door over IPsec naar de opslaglaag in de EER.
Sub-processors (bedrijven wier code je gegevens aanraakt)
Door de operator gekozen sub-processors (omoikane kiest deze namens jou):
- Mistral — gaat de modellen draaien die concepten produceren op de Managed-Lite- / Managed-Pro-tiers wanneer die tiers opengaan; ze zijn nog niet open. Gevestigd in de EU. Anthropic Claude blijft beschikbaar als door de gebruiker gekozen BYOM-optie (hieronder), met een contractueel vastgelegd verbod op trainen op data.
- Stripe — gaat betalingen verwerken wanneer de betaalde tiers opengaan; vandaag worden er geen betalingen verwerkt. Gevestigd in Ierland; ziet alleen ooit factuurgerelateerde gegevens, nooit je CV’s of sollicitaties.
- Cloudflare — levert autoritatieve DNS voor al onze domeinen, waaronder omoikane.coach. Het klantoppervlak wordt niet geproxyd: DNS-only records wijzen rechtstreeks naar onze eigen edge. Cloudflare Turnstile levert daarnaast botbescherming op geselecteerde formulieren.
- gigahost.no AS (Noorwegen) — hosting van de applicatieservers en de database, en de Noorse edge-anycast-VPS (Trondheim).
- iFog GmbH (Zwitserland) — Zwitserse edge-anycast-VPS (Zürich); alleen TLS-terminatie, geen data at rest.
- De Leidse YugabyteDB-quorum-getuige draait op operator-beheerde eigen infrastructuur — geen sub-processor.
Door de gebruiker gekozen sub-processors (jij kiest deze door een BYOM-provider te selecteren — de standaardtier is BYOM-Free, zie prijzen):
- Anthropic Claude (Verenigde Staten), OpenAI (Verenigde Staten), NVIDIA NIM (Verenigde Staten), Mistral (Europese Unie), DeepSeek (Volksrepubliek China), Ollama Cloud (door de provider opgegeven residentie), of elk OpenAI-compatibel eigen endpoint (jij stelt de base-URL in — de residentie is wat jouw endpoint opgeeft).
Als je voor BYOM kiest, worden je CV- / vacature- / coaching- / conceptgegevens naar je gekozen provider gestuurd onder het privacybeleid van die provider zelf (niet dat van omoikane). Op het moment dat je een provider toevoegt tonen we een duidelijke dataresidentie-banner, zodat je een geïnformeerde keuze kunt maken.
- Geen third-party analytics. Geen advertentieplatforms. Geen “AI-trainingspartners”. Paginaweergaven worden geteld door onze self-hosted, cookieloze Umami; lettertypen zijn self-hosted; de enige door een derde geserveerde asset op omoikane.coach is Cloudflare Turnstile (botbescherming).
Het volledige register, met de actuele status van elke vermelding, staat op Sub-processors.
Wat we beloven nooit te doen
- Enig model trainen — het onze of dat van wie dan ook — op jouw gegevens
- Je gegevens verkopen aan, delen met of blootstellen aan recruiters
- Third-party trackers, analytics of advertenties draaien op het klantoppervlak
- Je gegevens gebruiken voor marketingpersonalisatie
- Je gegevens gebruiken om andere gebruikers te beoordelen
- Je gegevens buiten de EER opslaan
Deze toezeggingen staan in onze voorwaarden en ons privacybeleid en ze zijn dragend — als er ooit één zou veranderen, verloren we elke reden waarom dit product het gebruiken waard is.
Gegevensexport en -verwijdering
Twee endpoints, bereikbaar vanuit je accountinstellingen:
- Export — levert een zip van alles wat we over je bewaren (JSON + geüploade bestanden + gegenereerde PDF’s + dagboek), direct te downloaden vanuit instellingen, hooguit eens per 24 uur. Er gaat een bevestigingsmail naar je geregistreerde adres, zodat een export die jij niet hebt aangevraagd nooit onopgemerkt passeert.
- Delete — wist je account, met doorwerking in elk onderliggend systeem (database + vectorstore + LLM-trace-store + objectopslag + auditlog). Onomkeerbaar. Afgehandeld binnen 7 dagen, conform de AVG.
Je hoeft geen toestemming te vragen, ons niet te schrijven en niet op een beoordeling te wachten. Instellingen → Account → Exporteren / Verwijderen.
Versleuteling
- At rest: back-ups worden vóór upload client-side versleuteld door restic — de back-upopslag kan ze niet lezen. Het privédagboek draagt een extra laag per-gebruiker-versleuteling. Infrastructuurgeheimen zijn versleuteld met
age+sops, met de sleutels bij de operator en in de wachtwoordmanager van de operator — niet bij enige derde partij. - In transit: TLS 1.3 met moderne ciphers. HSTS ingeschakeld.
- App-naar-database: TLS naar ons gedistribueerde SQL-cluster (YugabyteDB — twee synchrone datareplica’s over de twee Noorse databasehosts, plus een Leidse quorum-getuige zonder data). Replicatieverkeer tussen clusternodes loopt binnen een IPsec-mesh.
- Back-ups naar de off-site mirror: vóór transport client-side versleuteld door restic; de off-site mirror heeft de sleutel nooit en kan ze zelf niet ontsleutelen.
Audit en toegang
Operator-toegang tot je gegevens en belangrijke accountgebeurtenissen worden gelogd. Auditregels worden 12 maanden bewaard, en als je je account verwijdert worden ze losgekoppeld van je identiteit.
De operator (de mens die dit draait) opent je sollicitaties of concepten niet, tenzij je expliciet om support vraagt. Gebeurt dat wel, dan genereert dat een getypeerde auditgebeurtenis die je in je instellingen kunt zien.
Een kwetsbaarheid melden
Vind je een beveiligingsprobleem, mail dan security@omoikane.coach voordat je het publiek maakt. We reageren binnen 48 uur en vermelden responsible disclosure in de changelog.