Security en compliance

Je workflows draaien in n8n Cloud, het platform van n8n zelf. n8n slaat de gegevens op in de EU, op servers in Frankfurt, Duitsland. Het abonnement sluit je zelf af, dus de omgeving staat op jouw naam, met een eigen adres. Data verlaat je omgeving alleen als een workflow dat expliciet doet, bijvoorbeeld naar een AI-model of een systeem dat je koppelt.

Servers, beveiliging en beschikbaarheid van het platform regelt n8n. Wij richten je omgeving in: projecten en rechten, credentials, foutafhandeling en documentatie. Hoe dat eruitziet, lees je bij n8n-beheer en enterprise-architectuur.

• Tweefactorauthenticatie voor alle beheeraccounts
• SSO met het Enterprise-abonnement van n8n
• Serviceaccounts met minimale rechten, per koppeling
• Geen persoonlijke accounts als credential
• Credentials versleuteld opgeslagen in n8n
• Beheertoegang alleen voor de vaste mensen van n8n Solutions die je omgeving beheren. Jij kunt die toegang altijd intrekken.

Het platform en de servers zijn de verantwoordelijkheid van n8n. Je workflows krijg je als export, met de documentatie erbij, zodat je ze altijd kunt terugzetten of meenemen. Uitvoeringen, met de gegevens die erin zitten, bewaart n8n Cloud een beperkte tijd: 7 dagen bij Starter en 30 dagen bij Pro (bron: docs.n8n.io, oktober 2026).

We bewaken mislukte uitvoeringen en het verbruik van je abonnement. De beschikbaarheid van het platform bewaakt n8n. Bij een beveiligingsincident informeren we je zo snel mogelijk na ontdekking, zodat jij je eigen meldplichten kunt nakomen. Onder de AVG meld je een datalek met risico's voor betrokkenen binnen 72 uur bij de Autoriteit Persoonsgegevens. Valt je organisatie onder de Cyberbeveiligingswet, dan geldt voor significante incidenten een vroege waarschuwing binnen 24 uur.

Verwerken we persoonsgegevens voor je, dan sluiten we een verwerkersovereenkomst op basis van artikel 28 van de AVG. Daarin staan onder meer het doel, de soorten gegevens, de beveiligingsmaatregelen, de subverwerkers en wat er na afloop met de gegevens gebeurt. Wijzigingen in subverwerkers melden we vooraf, zodat je bezwaar kunt maken. Het abonnement van n8n Cloud sluit je zelf af. n8n verwerkt de gegevens in je omgeving dan voor jou, en die afspraken maak je rechtstreeks met n8n.

Je n8n Cloud-abonnement en eventuele AI-accounts staan op jouw naam. n8n en je AI-leverancier werken daardoor rechtstreeks voor jou, niet via ons. Welke partijen wij zelf inschakelen, bijvoorbeeld voor e-mail, staat in de verwerkersovereenkomst. Wijzigingen daarin melden we vooraf, zodat je bezwaar kunt maken.

• AI-nodes krijgen alleen de velden die ze nodig hebben.
• Je kiest zelf model en leverancier, waar mogelijk met verwerking in de EU.
• Bij de zakelijke API's van de grote aanbieders wordt je data standaard niet gebruikt om modellen te trainen. We leggen de gekozen instellingen vast.
• Doorgifte naar de VS: het EU-VS Data Privacy Framework is geldig, maar staat onder druk. Het Gerecht van de EU hield het in september 2025 in stand, er loopt een hoger beroep, en in juli 2026 vroeg de EDPB de Europese Commissie om de gevolgen van een uitspraak van het Amerikaanse Hooggerechtshof te beoordelen. Daarom kiezen we waar mogelijk voor verwerking in de EU en houden we persoonsgegevens zoveel mogelijk uit prompts.
• Praat een klant met een AI-agent, dan hoort hij dat bij het eerste contact, zoals de AI Act sinds 2 augustus 2026 vraagt. En er blijft een mens bereikbaar.
• Geen volledig geautomatiseerde besluiten over personen met rechtsgevolgen of vergelijkbare impact (artikel 22 AVG).

Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet. n8n Solutions valt daar zelf niet onder, maar organisaties die dat wel doen, moeten hun leveranciersketen beveiligen. We werken mee aan je leveranciersbeoordeling en leveren documentatie over architectuur, toegang, incidenten en exit.

n8n Solutions heeft geen eigen certificering. n8n Cloud valt onder de SOC 2 Type 2-rapportage van n8n zelf (bron: trust.n8n.io).

Stop je met ons beheer, dan houd je je n8n Cloud-omgeving: die staat op jouw naam. Je krijgt de documentatie en de exports van je workflows, en we trekken onze toegang in. Daarna verwijderen we je gegevens bij ons volgens de verwerkersovereenkomst.

• Verwerkersovereenkomst
• Subverwerkerslijst
• Overzicht van de inrichting
• Overzicht van beveiligingsmaatregelen
• Incidentprocedure

Vraag documenten aan