Soevereiniteitsverklaring Bastox
Versie 1.0 (concept) — 13 oktober 2026. Publiek document. Wordt gepubliceerd op bastrox.nl/soevereiniteit en is onderdeel van de verwerkersovereenkomst. Wijzigingen in sub-processors melden wij minimaal 30 dagen vooraf aan klanten.
Open punten vóór publicatie zijn gemarkeerd met [KEUZE] (nog te contracteren) of [VERIFIËREN] (feit nog te bevestigen bij de leverancier). Deze markeringen verdwijnen in v1.0 definitief.
Waarom dit document
Soevereiniteit is geen sticker. Een kopie in een Europees datacenter van een Amerikaans bedrijf is niet soeverein. Wij benoemen daarom per dienst vijf dingen: wie onze leveranciers zijn en van wie zij zijn, waar de data staat, wie de sleutel heeft, wie er vanuit welk land bij kan, en hoe u weggaat. En we benoemen eerlijk wat níet soeverein is.
Over Bastox
Bastox B.V., gevestigd in Nederland, KVK [nummer invullen], 100% Nederlands eigendom (via de holding van de oprichter). Geen buitenlandse aandeelhouders, geen buitenlandse moedermaatschappij. Al ons personeel werkt vanuit Nederland. Wij bouwen geen eigen cloud; wij kiezen leveranciers op eigendom, locatie en controleerbaarheid.
Lijn A — Secure: Managed M365 Security & Resilience
1. Leveranciers (sub-processors)
| Rol | Leverancier | Vestiging en eigendom | Datalocatie | Certificering |
|---|---|---|---|---|
| Het platform waarop u werkt | Microsoft Ireland Operations Ltd (Microsoft 365, Entra ID, Defender) | Ierland; moederbedrijf Microsoft Corporation, VS | EU Data Boundary (opslag en verwerking in EU/EFTA) | ISO 27001, SOC 2 |
| Onafhankelijke back-upkopie van mail, bestanden, SharePoint, Teams | Keepit A/S | Kopenhagen, Denemarken; Deens bedrijf met eigen cloud (geen hyperscaler) [VERIFIËREN: aandeelhouders] | Regio EU, datacenters Kopenhagen (Cibicom) of Frankfurt (Equinix); vier kopieën op twee fysieke locaties binnen de regio | ISO 27001, ISAE 3402 Type II [VERIFIËREN: actuele set in trust center] |
| Tweede soevereine kopie (Business-tier) | Impossible Cloud GmbH [KEUZE: of Nederlandse hoster] | Hamburg, Duitsland; privé-eigendom oprichters en Europese investeerders | Door klant te kiezen EU-locatie, voorkeur Nederland | ISO/IEC 27001:2022 |
| Back-upsoftware tweede kopie | Veeam Software (Veeam Backup for Microsoft 365) | VS (eigendom Insight Partners) | Geen — software draait op Bastox-infrastructuur in Nederland; Veeam heeft geen toegang tot uw data | — |
| Detectie en response 24/7 (Business-tier) | [KEUZE: Attic Security B.V., Utrecht / Huntress / Eye Security] | [VERIFIËREN: entiteit, aandeelhouders, hostinglocatie, eigen sub-processors] | [VERIFIËREN] | [VERIFIËREN] |
| Beheer- en rapportageplatform (Bastox-datalaag) | Bastox B.V., gehost bij [KEUZE: NL-hoster] | Nederland | Nederland | ISO 27001 van de hoster [VERIFIËREN] |
2. Waar staat welke data
| Dataset | Locatie | Opmerking |
|---|---|---|
| Uw mail, bestanden, chats (productie) | Microsoft, EU | Dit is uw bestaande Microsoft 365; wij veranderen daar niets aan |
| Back-upkopie | Keepit, Denemarken of Duitsland | Onafhankelijk van Microsoft; versleuteld in rust en transport |
| Tweede kopie (Business) | Impossible Cloud, Nederland of Duitsland [KEUZE] | Object Lock: niet te wijzigen of te wissen gedurende de retentie, ook niet door ons |
| Scanresultaten, configuratiestand, drift-logs, rapporten | Bastox-datalaag, Nederland | Alleen configuratie- en metadata, geen inhoud van mail of bestanden |
| Defender-alerts en telemetrie | Microsoft, EU | Niet soeverein; zie punt 6 |
| Auditlogs (Business-tier export) | Bastox-datalaag, Nederland | 1 jaar |
3. Wie heeft de sleutel
- Back-upkopie (Keepit): versleuteld met AES-256; sleutels beheerd door Keepit binnen de EU, per klant gescheiden. Bastox beheert uw back-up via een beheerconsole met MFA; Keepit-personeel heeft geen inzage in inhoud. [VERIFIËREN: sleutelmodel bij Keepit]
- Tweede kopie (Business): versleuteld met een sleutel die u beheert (bring your own key). Zonder uw sleutel kan niemand, ook Bastox niet, de tweede kopie lezen. Op verzoek bewaren wij een verzegelde kopie van de sleutel (escrow) zodat herstel mogelijk blijft als u de sleutel verliest; die verzegeling wordt alleen verbroken op uw schriftelijke verzoek en gelogd.
- Uw Microsoft 365: sleutels bij Microsoft. Customer Key is mogelijk maar vereist E-licenties en valt buiten onze standaarddienst.
4. Wie kan erbij, vanuit waar
- Toegang tot uw Microsoft 365 uitsluitend via Granular Delegated Admin Privileges (GDAP) met vooraf benoemde, beperkte rollen en een looptijd. Wij vragen nooit Global Administrator als vaste rol. U ziet en beëindigt onze toegang zelf in uw tenant.
- Alle Bastox-medewerkers werken vanuit Nederland, met aparte beheerdersaccounts, phishing-bestendige MFA (hardwaresleutel) en logging van elke beheerhandeling.
- Geen offshore-support, geen onderaannemers met toegang tot klantomgevingen. Zodra wij een achtervang buiten kantooruren contracteren, staat die partij hier met naam, land en rolbeperking vermeld.
- Leveranciers hebben alleen toegang tot hun eigen laag (Keepit tot de back-upinfrastructuur, niet tot uw tenant).
5. Weggaan
- Opzegtermijn volgens overeenkomst; daarna 30 dagen om uw data op te halen, kosteloos.
- Back-upkopie: export per mailbox (PST), bestanden en sites als bestanden, of directe overdracht van het Keepit-account aan u of uw nieuwe leverancier.
- Tweede kopie: de opslagbucket is per klant gescheiden en kan aan u worden overgedragen, inclusief sleutel. U hoeft niets te downloaden om eigenaar te blijven.
- Rapporten en scanhistorie: export als PDF en CSV.
- Na afloop wissen wij alle kopieën en bevestigen dat schriftelijk binnen 90 dagen (met inachtneming van de ingestelde immutability-termijn, die niet verkort kan worden).
6. Wat níet soeverein is, en wat we daaraan doen
- Microsoft 365 zelf. Uw productiedata staat bij een Amerikaans moederbedrijf. De EU Data Boundary houdt opslag en verwerking in Europa, maar Amerikaanse wetgeving (CLOUD Act) kan Microsoft tot afgifte verplichten. Dat is de reden dat elke Secure-tier een onafhankelijke kopie buiten Microsoft bevat, en de Business-tier een tweede kopie onder uw eigen sleutel.
- Defender-telemetrie. Detectiedata van uw apparaten en mail wordt door Microsoft verwerkt. Wij slaan alleen de alerts en onze afhandeling op in Nederland.
- Veeam-software. Amerikaanse software, maar zonder toegang tot uw data: die draait bij ons, in Nederland.
Lijn B — Recover: Sovereign Backup voor servers, VM’s en Azure
1. Leveranciers
| Rol | Leverancier | Vestiging en eigendom | Datalocatie | Certificering |
|---|---|---|---|---|
| Opslag van uw back-ups | Impossible Cloud GmbH [KEUZE: of Nederlandse hoster met Object Lock] | Hamburg, Duitsland; privé-eigendom oprichters en Europese investeerders | Nederland (voorkeur) of Duitsland, door u te kiezen | ISO/IEC 27001:2022 |
| Back-upsoftware | Veeam Software (Veeam Backup & Replication, Veeam Service Provider Console) | VS (eigendom Insight Partners) | Geen — draait op Bastox-infrastructuur in Nederland | — |
| Back-upserver en beheerplatform | Bastox B.V., gehost bij [KEUZE: NL-hoster], of bij u op locatie | Nederland | Nederland | ISO 27001 van de hoster [VERIFIËREN] |
| Incident response (Cyber Recovery-tier) | [KEUZE: IR-partner] | [VERIFIËREN] | — (alleen bij incident, onder uw regie) | [VERIFIËREN] |
2. Waar staat welke data
| Dataset | Locatie |
|---|---|
| Back-ups van servers, VM’s en Azure-workloads | Eigen opslagbucket per klant, Nederland of Duitsland, met Object Lock |
| Back-upcatalogus en jobconfiguratie | Bastox-back-upserver, Nederland |
| Hersteltest-resultaten, health score, RPO/RTO-metingen, rapporten | Bastox-datalaag, Nederland |
| Monitoring op back-updata (change rate, mass deletion, ransomware-indicatoren) | Bastox-back-upserver, Nederland; alleen metadata |
3. Wie heeft de sleutel
Elke back-up wordt versleuteld vóór verzending naar de opslag, met een sleutel die u beheert (bring your own key). Bastox kan uw back-ups beheren, testen en herstellen zolang u ons daartoe machtigt; zonder uw sleutel is de opslag onleesbaar, ook voor ons en voor de opslagleverancier. Escrow van de sleutel is optioneel, verzegeld en gelogd (zie lijn A, punt 3).
4. Wie kan erbij, vanuit waar
- Bastox-medewerkers vanuit Nederland, met aparte beheerdersaccounts, hardwaresleutel-MFA en vier-ogen-procedure voor het verwijderen van back-ups of het verkorten van retentie (wat technisch onmogelijk is binnen de Object Lock-termijn).
- Veeam-support krijgt alleen toegang op ons verzoek, tijdelijk, onder toezicht en gelogd; nooit tot ontsleutelde data.
- De opslagleverancier ziet versleutelde objecten en metadata (grootte, tijdstip), geen inhoud.
5. Weggaan
- De opslagbucket is van begin af aan per klant gescheiden en wordt bij vertrek aan u overgedragen, inclusief sleutel en retentie-instellingen. U kunt de back-ups met uw eigen Veeam-licentie of een andere partij blijven gebruiken.
- Alternatief: wij leveren een volledige export op door u aangeleverde media of naar een door u aangewezen bestemming.
- Documentatie (restore-runbooks, recovery-plan) is uw eigendom en wordt bij vertrek overgedragen.
- Kosteloos, binnen 30 dagen na einde overeenkomst; wisbevestiging binnen 90 dagen.
6. Wat níet soeverein is
- Veeam is Amerikaanse software. Wij kiezen Veeam omdat het de de-factostandaard is voor server- en VM-back-up en omdat het volledig op onze infrastructuur draait zonder dataverkeer naar de leverancier. Voor Hyper-V en Proxmox werken wij aan een eigen engine; de opslaglaag en uw sleutels veranderen daardoor niet.
- Azure-workloads die u bij Microsoft draait, zijn als productieomgeving niet soeverein; hun back-up bij ons wel.
Wat wij nooit beloven
Wij garanderen geen herstel. Wij testen herstel, periodiek en aantoonbaar, en rapporteren het resultaat. Hersteldoelen (RTO/RPO) in onze overeenkomsten zijn geteste doelen, geen garanties.
Versiegeschiedenis
| Versie | Datum | Wijziging |
|---|---|---|
| 1.0 concept | 13 oktober 2026 | Eerste versie; leverancierskeuzes voor tweede kopie, MDR, IR en hosting nog open |
Bronnen bij de feiten in dit document (geraadpleegd 13 oktober 2026)
- Keepit trust center en datacenterpagina: https://www.keepit.com/trust-center · https://web03.keepit.com/security/data-centers
- Impossible Cloud: https://www.impossiblecloud.com/about-us · https://kb.impossiblecloud.com/en/is-impossible-cloud-iso-27001-certified
- Microsoft EU Data Boundary (voltooid februari 2025): https://blogs.microsoft.com/on-the-issues/2025/02/26/microsoft-completes-landmark-eu-data-boundary-offering-enhanced-data-residency-and-transparency/
- Attic Security, lancering IVON (juni 2026): https://atticsecurity.com/en/blog/attic-launches-ivon/