Hugging Face
Hugging Face
Beoordelingslabels zijn redactionele duiding, geen AVG-certificering. Toets het exacte abonnement, de rechtsgrond, DPA, subverwerkers, bewaartermijnen, dataresidentie en instellingen. EU-opslag en geen training bewijzen op zichzelf geen AVG-compliance. ¹ Geen training geldt onder de voorwaarden van het beoordeelde abonnement.
Prijs / Contractroute
Team/Enterprise and inference pricing varies; verify current order form
Enterprise Functies
EU Hub storage for eligible organisations, EU-region dedicated endpoints, Enterprise DPA, SOC 2 Type II assurance
Laatst bijgewerkt
September 10, 2026
Beoordeeld op 10 september 2026 door WAIMAKERS B.V.
Doel en context
Hugging Face is een platform met wezenlijk verschillende routes. De Hub, doorgestuurde Inference Providers, toegewezen Inference Endpoints en zelfhosting kunnen niet één GDPR-antwoord delen. Een compliant implementatie is mogelijk nadat de gekozen opslag-, compute- en leveranciersketen is vastgelegd.
📊 Vergelijking van dienstroutes
| Route | Gedocumenteerde verwerking | EU-controle | Praktische beoordeling |
|---|---|---|---|
| Hub-repositories, datasets en Spaces | Hugging Face bewaart inhoud en accountgegevens volgens zijn voorwaarden. | Team- en Enterprise-organisaties kunnen EU-opslag kiezen voor ondersteunde Hub-resources; andere accounts gebruiken VS-opslag. | Controleer resourcetype, opslagregio, medewerkers en externe aanroepen vanuit Spaces. |
| Doorgestuurde Inference Providers | Hugging Face stelt doorgestuurde request-/responsepayloads niet te bewaren of voor training te gebruiken. Operationele logs zonder gebruikersgegevens of tokens kunnen maximaal 30 dagen blijven. Het beleid van de externe provider geldt ook. | Providerafhankelijk. | Beoordeel zowel Hugging Face als de genoemde inferenceprovider. |
| Toegewezen Inference Endpoints | Hugging Face stelt payloads en authenticatietokens niet te bewaren; endpointlogs blijven 30 dagen. | De klant kiest een beschikbare cloud en regio, waaronder gedocumenteerde AWS-beschikbaarheid in Ierland. | Goede controle wanneer regio, netwerkmodus, logging en modelrepository correct zijn ingericht. |
| Zelfgehost model of runtime | Hugging Face ontvangt niet alleen door het downloaden van software of weights prompts. | Operatorgestuurd. | De operator beheert beveiliging, licentie, logging, grondslag, verwijdering en modelgovernance. |
✅ GDPR-compliancebeoordeling
Voor doorgestuurde inference zegt Hugging Face dat requests en responses niet worden opgeslagen of voor training gebruikt wanneer Hugging Face ze routeert. Het beveiligings- en databeleid van de externe provider geldt ook.[1] De prijsdocumentatie bevestigt dat requests naar de gekozen provider gaan, ongeacht facturatie via Hugging Face of een eigen providersleutel.[2]
Voor toegewezen endpoints zegt Hugging Face dat requestpayloads en tokens niet worden opgeslagen, terwijl endpointlogs 30 dagen blijven. De documentatie noemt TLS, private-linkopties en een Enterprise-DPA.[3]
🌍 Infrastructuur, gegevensresidentie en beveiliging
Het privacybeleid identificeert een Amerikaans bedrijf en zegt dat persoonsgegevens in de VS en andere landen kunnen worden verwerkt met toepasselijke waarborgen.[4] Volgens de opslagregiodocumentatie kunnen Team- en Enterprise-organisaties ondersteunde repositories, datasets, Spaces en opslagbuckets in EU of VS bewaren; Free- en Pro-opslag blijft in de VS. Een Hub-opslagregio bepaalt niet automatisch de verwerkingsregio van een externe inferenceprovider.[5]
Hugging Face rapporteert SOC 2 Type II-assurance voor Hub en Inference Endpoints en zegt dat Enterprise-klanten een DPA kunnen sluiten. Vraag rapport, DPA en precies productbereik op; een platformbadge dekt niet automatisch derden.[6]
In mei 2024 meldde Hugging Face ongeautoriseerde toegang tot Spaces en dat mogelijk een deel van de Spaces-secrets toegankelijk was. Het trok betrokken tokens in en adviseerde sleutelrotatie. De melding bewijst niet dat iedere Space of alle chatgegevens waren ingezien.[7]
Checklist voor EU-implementatie
- Benoem de exacte route en iedere organisatie die prompts, bestanden, metadata of logs ontvangt.
- Kies voor Hub-opslag de ondersteunde EU-regio op een geschikt plan en verifieer de resource.
- Controleer voor doorgestuurde inference de DPA, regio, training, bewaring en subverwerkers van de gekozen provider.
- Kies voor toegewezen endpoints regio en privénetwerk, beperk repositorytoegang en regel verwijdering van 30-dagenlogs.
- Sluit de toepasselijke DPA en leg doorgiftewaarborgen, rollen en incidentprocedures vast.
- Behandel communitymodellen en Spaces als code/inhoud van derden en controleer licenties, modelkaarten, secrets, dependencies en uitgaande verbindingen.
Actuele planpagina's noemen functies en prijzen, maar die wijzigen en bewijzen geen privacyeigenschap. Controleer het actuele orderformulier.[8]
📋 Eindoordeel
Hugging Face verdient een implementatiespecifieke beoordeling. EU-Hubopslag en EU-regio-endpoints zijn op geschikte routes beschikbaar; gratis Hub-inhoud staat in de VS en doorgestuurde inference erft voorwaarden van de gekozen provider. Er is geen platformbreed bewaar- of trainingsantwoord.
Disclaimer
Dit is een redactionele inkoopbeoordeling, geen juridisch oordeel of juridisch advies.