Geen Amerikaanse cloud en geen stapel tussenpartijen. Hieronder staat waar je formulieren draaien, wie de machine beheert, waar de back-ups heen gaan — en wat er bij ons níet in Nederland staat.
"Onze servers staan in Europa" zegt minder dan het lijkt. De Amerikaanse CLOUD Act richt zich niet op de plek van de schijf maar op de aanbieder: een bedrijf dat onder Amerikaanse rechtsmacht valt, kan worden gedwongen data af te geven die het beheert — ook als die data in een Europees datacenter staat. Een Europese regio bij een Amerikaanse cloudpartij haalt die vraag dus niet weg.
Daarom gaat het bij ons om de hele keten. Formuliermet.nl wordt gebouwd en beheerd door InnoDIGI, een Nederlands bedrijf uit Rosmalen, op een server van een Nederlandse hoster, met software die we zelf in beheer hebben. Er zit geen Amerikaanse partij tussen jou en de gegevens van je invullers. Leaseweb stelt het voor zijn Nederlandse datacenters zo: die vallen uitsluitend onder Europees recht, inclusief de AVG, en niet onder extraterritoriaal recht zoals het Amerikaanse.
De machine staat in een datacenter in Amsterdam, bij Leaseweb Netherlands B.V. Leaseweb heeft er twee; welke van de twee en in welke zaal houden we bewust binnen — dat soort details hoort niet op een website. Leaseweb Netherlands voert voor die omgeving onder meer ISO 27001, PCI DSS, SOC 1, HIPAA en NEN 7510.
Amsterdam is geen willekeurige keuze: het is een van de grootste internetknooppunten van Europa, waardoor je formulier voor Nederlandse en Belgische invullers dichtbij staat. Dat merk je aan de laadtijd, en bij iDEAL ook aan het heen-en-weer met de bank.
Op die server draait onze eigen virtualisatie. Formuliermet.nl heeft daarin een eigen, afgeschermde machine met Debian 13 — geen gedeelde hostingomgeving en geen beheerpaneel van een derde partij. Daarbinnen zit alles wat het platform nodig heeft:
Dat laatste is een klein punt met een grote staart. Een foutrapport bevat vaak net dat stukje gegevens waar het misging. Bij de meeste platforms reist dat mee naar een Amerikaanse logdienst; hier komt het niet van de machine af.
Alles is TypeScript. De API is Node.js met Express en Prisma op MariaDB; de app die je in je browser gebruikt is React. Deze website is iets aparts: een eigen generator die er statische HTML van maakt — eigen lettertypen, geen CDN, geen trackers, geen cookiebanner die je moet wegklikken. Een spamcontrole laadt alleen op de paar pagina's waar een formulier staat.
Bewust níet gebruikt: serverless platforms en "framework as a service". Wat hier draait is een gewoon, langlopend proces achter nginx. Daardoor staat de hele applicatie binnen een middag op een andere machine of bij een andere hoster, als dat ooit nodig is.
En voordat de applicatie start, controleert de server een handtekening over de uitgerolde bestanden. Klopt er één bestand niet, dan start hij niet. Zo kan niemand — ook wij niet — ongemerkt iets anders live zetten dan wat er is gebouwd.
Een schijf. De opslag is een spiegel van twee enterprise-SSD's. Valt er één weg, dan loopt alles door op de andere en wordt de kapotte vervangen. Maandelijks leest het systeem alle data volledig terug om stille bitrot op te sporen; de laatste controle vond nul fouten.
De machine. Elke twaalf uur gaat er een volledige momentopname naar een back-upserver op een tweede locatie in Nederland — een ander gebouw, een ander netwerk, een andere internetverbinding. Ook als het datacenter er in zijn geheel uit zou liggen, staat de hele omgeving dus nog ergens anders.
De data zelf. Daarnaast maakt de applicatie elke nacht zijn eigen back-up: een versleutelde databasedump plus een versleuteld archief van alle geüploade bestanden — logo's, bijlagen van invullers, documenten. Die bewaren we zestig dagen. Een dump telt alleen als geslaagd wanneer het proces netjes is afgelopen én het bestand op de afsluitregel eindigt; een halve back-up die "ok" meldt is erger dan geen back-up.
En wat we niet hebben: een tweede server die het binnen een seconde overneemt. Valt de machine zelf om, dan is dat terugzetten uit de momentopname, geen automatische omschakeling. Dat is een keuze: één machine met een herstelpad dat we testen, in plaats van een cluster dat we in de praktijk nooit zouden oefenen. Uitrollen van nieuwe versies gebeurt wél zonder onderbreking — tijdens een deploy neemt een invaller het verkeer over.
Hoe de machine bewaakt wordt — inbraakdetectie, bestandsintegriteit, virusscan, firewall en audit-log — staat op de pagina beveiliging & compliance.
Over het datacenter gaan we uit van wat Leaseweb daar zelf over publiceert:
Zelf houden we het bij niet meer machines dan nodig. Eén server deelt zijn capaciteit met onze andere diensten in plaats van dat er voor elk product een halfleeg ding staat te draaien. SSD's gaan eruit als ze op zijn, niet als ze volgens een schema aan de beurt zijn. En doordat deze website statische HTML is, kost een bezoeker een fractie van wat een pagina kost die bij elke klik een server aan het werk zet.
Dit zijn de uitzonderingen, allemaal:
Verder niets. Geen analyticspakket, geen CDN, geen Amerikaanse opslag, geen marketingpixels. Wat we met persoonsgegevens doen en welke subverwerkers daarbij horen staat in de privacyverklaring en op de AVG-pagina.
Soevereiniteit betekent ook dat je niet vastzit. In de app exporteer je je hele account — formulieren, instellingen en inzendingen — als één bestand. Geen aanvraagformulier, geen wachttijd, geen vertrektarief.
Ja. De server staat in een datacenter in Amsterdam, bij de Nederlandse hoster Leaseweb Netherlands B.V. Inzendingen, bijlagen, accountgegevens, e-mail en back-ups blijven binnen die omgeving; de back-ups gaan naar een tweede locatie in Nederland.
De CLOUD Act richt zich op aanbieders die onder Amerikaanse rechtsmacht vallen — die kunnen worden gedwongen data af te geven, ook als de server in Europa staat. Formuliermet.nl wordt gebouwd en beheerd door een Nederlands bedrijf, op een server van een Nederlandse hoster. Er zit geen Amerikaanse partij tussen jou en je data.
Een schijf merk je niet: de opslag staat in spiegel. Valt de hele machine om, dan zetten we terug uit de momentopname van maximaal twaalf uur oud die op een tweede locatie in Nederland staat. Er is geen automatische omschakeling naar een tweede server — dat zeggen we liever eerlijk dan dat we het suggereren.
Leaseweb geeft aan dat zijn Nederlandse datacenters op 100% hernieuwbare energie draaien en adiabatisch worden gekoeld, en is sinds juli 2023 gecertificeerd onder het Climate Neutral Data Centre Pact. Zelf draaien we op één machine die zijn capaciteit met onze andere diensten deelt, en vervangen we hardware pas als ze versleten is.
Op drie plekken, en alleen daar: het taalmodel achter de AI-assistent (Anthropic, alleen na jouw akkoord), de spamcontrole op pagina's met een formulier, en PayPal als jíj dat als betaalmethode kiest. Geen analytics, geen CDN, geen Amerikaanse opslag.
Altijd. Je exporteert in de app je hele account — formulieren, instellingen en inzendingen — als één bestand, wanneer je maar wilt.
Maak een gratis account aan en bouw je eerste formulier. Je gegevens staan vanaf de eerste inzending in Amsterdam.