GDPR-gecertificeerd astrologisch API voor EU-ontwikkelaars

De eerste astrologische API met volledige EU-residentie. Als je een B2C-product voor de Europese markt ontwikkelt, komt de vraag over GDPR-conformiteit al op voordat je de eerste regel code schrijft. AstroWay lost dit standaard op, zonder extra kosten of juridische acrobatiek.

Waarom dit belangrijk is

De overige astrologische API’s (DivineAPI, AstrologyAPI, Prokerala) zijn gehost in de VS / India. Dit betekent:

Jouw birth.date, birth.time, birth.lat, birth.lon (=PII in GDPR-zin) gaat via de VS/India.
Subprocessor disclosure voor jouw privacybeleid: je moet hun jurisdictie vermelden.
DPA (Data Processing Agreement): ofwel niet beschikbaar, ofwel alleen voor Enterprise via een apart contract.
EU-EUR Data Protection Authority audit risico: grensoverschrijdende overdracht zonder SCC = boetes van €10M+.

AstroWay op het Pro-tarief ($59/maand) geeft je standaard EU-residentie: alle gegevens worden opgeslagen en verwerkt in Hetzner Neurenberg. Wij beheren deze machines vanuit Oekraïne, en de DPA dekt deze toegang met Standaard Contractuele Clausules, in plaats van te doen alsof het er niet is.

Technische stack

Laag	Locatie / provider
Compute	Hetzner, Neurenberg (Duitsland)
Database	EU-resident, in hetzelfde datacenter - gegevens verlaten Neurenberg niet
CDN / DNS	Cloudflare met EU-regio cache-regels (verzoeken uit de EU worden bediend door EU edges)
Transactionele e-mail	Brevo (voorheen Sendinblue), EU-gebaseerd, GDPR-compliant SMTP
Rapportbestanden	Onze infrastructuur in Neurenberg: toegang alleen via een ondertekende link met beperkte geldigheidsduur, zonder replicatie buiten de EU
Analyse	GA4 met anonymizeIp + geen persoonlijke gegevens in gebeurtenissen (Plausible self-hosted op de roadmap)
Logs	gestructureerde JSON, alleen IP-hash (geen ruwe IP’s), retentie 30 dagen

Standaard (voor alle Pro+ sleutels)

✅ Gegevensstroom alleen binnen de EU: geboortedata verlaat Neurenberg nooit
✅ Gegevens blijven in de EU, en we leggen precies uit wat dat betekent: geboortedata wordt opgeslagen en verwerkt in Neurenberg en nergens anders naartoe gekopieerd. Wij beheren deze systemen vanuit Oekraïne, en Hoofdstuk V van de GDPR beschouwt ook externe toegang als een overdracht, zelfs als er niets fysiek wordt verplaatst, dus de DPA dekt deze toegang met Standaard Contractuele Clausules.
✅ IP-hashing: in de logs wordt alleen een gesalte SHA-256 hash opgeslagen, plus de eerste 16 bits van het adres, waardoor het netwerk zichtbaar is, maar niet het knooppunt. Het adres zelf slaan we nergens op: de frequentiebeperking van verzoeken wordt in het procesgeheugen berekend en het adres wordt ook nergens weggeschreven.
✅ Logopslag 30 dagen: daarna worden de logs automatisch verwijderd.
⚠️ Geanonimiseerde analyse (GA4): anonymize_ip + geen persoonlijke gegevens in gebeurtenissen. Plausible self-hosted (zonder cookies) - op de roadmap. Voor de migratie raden we een eigen cookiebanner aan op de B2C-frontend.
✅ Recht op wissen: DELETE /v1/me/account (Bearer JWT, body {"confirmation": "DELETE"}) schakelt onmiddellijk alle account-sleutels uit en plant de verwijdering voor 30 dagen. Binnen deze periode kan het verzoek worden ingetrokken via POST /v1/me/account/cancel-deletion, waarna een dagelijkse taak onze gegevens over jou wist. Het venster is bewust: verwijdering mag niet onomkeerbaar zijn door één verkeerde opdracht.

Op aanvraag (Pro+ abonnees)

📄 DPA (Data Processing Agreement): standaard sjabloon GDPR Art. 28. Je leest de volledige tekst, accepteert deze met een knop in het dashboard, en ontvangt direct een PDF met daarin de acceptatieverklaring: account, versie, datum. Artikel 28 lid 9 accepteert de overeenkomst “in schriftelijke vorm, inclusief elektronisch”, dus je hoeft niet te wachten op een handtekening. Een papieren kopie met handtekening maken we op aanvraag via legal@astroway.info.
📋 Lijst van sub-processors: volledige lijst (Hetzner, Cloudflare, onze SMTP-provider en betalingsprovider) met de conformiteitsdocumenten van elk. Brevo als SMTP-leverancier is vermeld in de DPA-bijlage voor klanten die deze hebben ondertekend.
🗂️ Input voor DPIA (Data Protection Impact Assessment): als jouw juridische team een DPIA uitvoert voor hun product, leveren wij technische informatie van onze kant.

Voor Enterprise-klanten (individueel tarief)

🛡️ SOC 2 Type II: op de roadmap (auditbedrijf nog niet vastgesteld, ETA TBD). Als dit jouw integratie blokkeert - schrijf naar legal@astroway.info, we zijn bereid om een aparte audit-samenwerking te overwegen.
🇪🇺 Juridische entiteit binnen de EU: de huidige juridische vorm is een Oekraïense eenmanszaak (Maxim Burkhan). Als jouw inkoopafdeling een EU GmbH (Duitsland / Estland) vereist - bespreken we dit individueel via legal@astroway.info, proces 4-8 weken.
🔐 Toegewijde infrastructuur op aanvraag: een aparte server in Neurenberg en een geïsoleerde database.
📞 Direct beveiligingskanaal: security@astroway.info voor incidentrespons.

Vergelijking: AstroWay versus concurrenten met hosting in de VS

Kritiek voor een EU-ontwikkelaar	AstroWay Pro $59	DivineAPI	AstrologyAPI	Prokerala
Compute in de EU	✅ Hetzner Neurenberg	❌ VS	❌ VS	❌ India
Standaard DPA beschikbaar	✅ op Pro+	❌ alleen Enterprise	❌ alleen Enterprise	❌ alleen Enterprise
GDPR-conformiteit standaard	✅ op infrastructuurniveau	⚠️ via SCC	⚠️ via SCC	⚠️ via SCC
Analyse zonder cookies	⚠️ GA4 geanonimiseerd (Plausible op roadmap)	❌ GA4	❌ GA4	❌ GA4
Garantie gegevensstroom alleen in de EU	✅ schriftelijk	❌	❌	❌
Technische input voor DPIA	✅ geleverd	❌	❌	❌
Endpoint recht op wissen	✅ `DELETE /v1/me/account`	❌ via ticket	❌ via ticket	❌ via ticket

Prijs

EU-residentie, DPA, GDPR op infrastructuurniveau - alles inbegrepen in Pro $59/maand. Geen apart tarief, geen contact met sales, geen individuele prijsstelling.

Dit is een bewuste strategie: hosting bij Hetzner kost ons niets extra (onze infrastructuur bevindt zich toch al in Neurenberg), en de DPA is een standaardsjabloon dat eenmalig via e-mail wordt ondertekend. Je hoeft niet te betalen voor privacy die standaard zou moeten zijn.

Veelgestelde vragen

Ja - het gratis tarief heeft dezelfde infrastructuur (Hetzner Neurenberg), dezelfde geanonimiseerde analyse, en dezelfde 30-dagen logretentie. DPA is niet beschikbaar op het gratis tarief (dit is een administratieve overhead die alleen op een betaald niveau wordt terugverdiend), maar technisch worden de gegevens op dezelfde manier verwerkt.

Als jouw jurist een ondertekende DPA vereist - Indie ($5/maand) biedt deze ook niet. De goedkoopste optie met DPA = Pro $59.

Hoe zit het met ECJ Schrems II? Is jouw Cloudflare CDN een Amerikaans bedrijf?

Cloudflare is Amerikaans, maar we gebruiken EU-region cache rules (een verzoek van een EU IP wordt bediend door een EU edge), en de origin server (waar de gegevens daadwerkelijk worden verwerkt) is Hetzner Neurenberg. PII (geboortedata) passeert de Cloudflare edge in dezelfde regio en wordt niet op de edge opgeslagen - alleen in transit.

Voor kritisch-gevoelige gebruiksscenario’s (medische toepassingen, B2G) kun je Cloudflare omzeilen via DNS-routering naar de origin - schrijf naar legal@astroway.info.

Hoe snel ontvang ik de DPA na het abonneren op Pro?

Standaard DPA (ons sjabloon): direct. De tekst is openbaar op /legal/dpa/, wordt geaccepteerd in het dashboard, en de PDF wordt daar gedownload en bevat de acceptatieverklaring.
Individuele aanpassingen van jouw jurist: we overwegen ze, maar kunnen geen termijn beloven, omdat we geen jurist in dienst hebben. Over de standaardpunten van Art. 28 onderhandelen we niet: deze zijn afkomstig uit het sjabloon van de Europese Commissie juist om discussie te voorkomen.

Moet ik een DPA ondertekenen als ik een B2B-ontwikkelaar ben zonder eigen PII?

Als jouw eindproduct PII verwerkt (en geboortedata is PII) - dan ja, jouw jurist zal waarschijnlijk vragen om een ondertekende DPA met alle sub-processors. Wij bieden deze standaard aan. Als jouw integratie intern is (alleen werknemers), is een DPA waarschijnlijk niet kritiek, maar het is alsnog beter om deze te ondertekenen.

Wat doet AstroWay als ik `DELETE /v1/me/account` heb uitgevoerd?

API-sleutels: worden zacht verwijderd (anti-misbruik cooldown)
Account-sleutel koppeling: verbroken; de sleutel kan niet opnieuw worden toegewezen.
Gebruikersprofiel: gemarkeerd als verwijderd met tijdstempel.
Gebruikslogs: IP-hash is geen PII meer, blijft voor facturatie-audit.
Bestelgeschiedenis: wordt bewaard, omdat dit vereist is door de belastingwetgeving. Voor een eenmanszaak is dit 1095 dagen volgens art. 44.3 van het Belastingwetboek, dus drie jaar, niet zeven: GDPR Art. 17 §3(b) sluit dergelijke gegevens expliciet uit van het recht op wissen.
Transactionele e-mails: worden automatisch verwijderd door onze SMTP-provider na 90 dagen.

De volledige flow is op aanvraag beschikbaar via legal@astroway.info.

Contact

Juridisch/DPA: legal@astroway.info
Beveiligingsincidenten: security@astroway.info
Subprocessorlijst / DPIA: hello@astroway.info

Nuttig?

Wijziging voorstellen

Laatst bewerkt: 29 sep 2026

// Vorige

Kosten per endpoint

Volgende //

Founders' Lifetime Deal