Wij regelen de security zodat jouw team dat niet hoeft te doen

Ja. Photoroom heeft een SOC 2 Type 2-attestatie voor onze API-service. Het meest recente rapport (april 2026) en de huidige controles zijn beschikbaar in het Trust Center. Als je voor inkoop bewijs nodig hebt voor een andere scope, geef dit dan vroeg aan bij het sales team.

Ja op beide. We werken volgens de GDPR-principes, met een gedocumenteerde lijst van subverwerkers, een vastgesteld proces voor meldingen van datalekken en anonimisering van persoonsgegevens voordat we modellen trainen. Een Data Processing Agreement is beschikbaar voor Enterprise-klanten via je accountteam.

Dat hangt af van je contract.

• Enterprise-contracten: standaard niet. Training gebeurt alleen als dit expliciet schriftelijk is overeengekomen.

• Bij zelfbedieningsabonnementen voor de API: nee. Afbeeldingen die via de API worden verstuurd, worden niet gebruikt om AI-modellen te trainen.

• Bij alle abonnementen worden trainingsdata en productiedata apart opgeslagen. Alleen leden van het ML-team hebben toegang tot trainingsdata, en elke toegang wordt gelogd.

Onze infrastructuur draait op Google Cloud Platform en Amazon Web Services in de VS. Gegevens die onderweg zijn, worden versleuteld met TLS 1.2 of hoger (beheerd via Cloudflare). Gegevens die opgeslagen zijn, worden op infrastructuurniveau versleuteld door GCP en AWS. Exclusieve EU-gegevensopslag is momenteel niet beschikbaar. Als regionale gegevensresidentie een contractvereiste is, geef dit dan vroegtijdig aan bij sales.

Sync API-afbeeldingen worden direct verwijderd zodra de response binnen is. Async API-afbeeldingen blijven kort bewaard terwijl de taak loopt en worden daarna verwijderd. Operationele logs worden na 15 dagen verwijderd. API-toegangslogs worden één jaar bewaard en zijn beschikbaar voor beveiligingsonderzoeken en auditverzoeken.

GCP en AWS voor hosting en opslag, Cloudflare voor CDN, beveiliging en DNS, Datadog voor event logging en API-parameterlogs, en Vercel voor hosting. De actuele lijst staat gepubliceerd in het Trust Center.

Eén incident geregistreerd (oktober 2024): een onderbreking van de service van 30 minuten. Er zijn geen klantgegevens in gevaar gekomen. Het incident is vastgelegd en geëvalueerd volgens ons incident response-proces.

Ja. Gebruikers van de app kunnen via een schakelaar in de accountinstellingen aangeven dat ze niet willen bijdragen aan modelverbetering. Wanneer gegevens voor training worden gebruikt, worden persoonsgegevens eerst geanonimiseerd. Let op: dit staat los van de toezegging aan API-klanten: afbeeldingen worden niet gebruikt om AI-modellen te trainen, bij zowel selfservice- als Enterprise API-abonnementen.