Beoordeeld: 10 september 2026 - opgesteld door WAIMAKERS B.V.

1 Doel

Implementatiespecifieke beoordeling. Lovable kan een EU-workflow voor appontwikkeling ondersteunen als het juiste abonnement, de DPA, Lovable Cloud-regio en downstreamdiensten worden beheerst. Het kiezen van een EU-regio voor de appbackend bewijst niet dat account-, prompt-, telemetrie-, AI-aanbieder-, support- en GitHub-stromen allemaal in de EU blijven.

2 Vergelijking van Lovable-niveaus (EU-focus)

Abonnement	Privacy- en contractroute	Openbare prijs op beoordelingsdatum
Free	Geen inbegrepen DPA; trainingsopt-out voor de gebruiker in accountinstellingen	Gratis; 5 dagelijkse build credits, begrensd op 30/maand
Pro	Geen inbegrepen DPA; trainingsopt-out voor de gebruiker in accountinstellingen	$25/maand of $21/maand bij jaarbetaling voor de instapbundel
Business	DPA inbegrepen; werkruimtedata standaard uitgesloten van training; SSO	Vanaf $50/maand of $42/maand bij jaarbetaling
Enterprise	DPA inbegrepen; beveiliging, support en volumeterms op maat	Maatwerk

Lovable gebruikt werkruimtecredits voor bouwen, Cloud en AI in apps. Credits, grants en verbruiksprijzen kunnen veranderen; verifieer live checkout en order.

3 Is Lovable GDPR-Compliant?

Trainingsbeleid hangt af van het abonnement

Volgens Lovable's trainingsdocumentatie van 9 september 2026 en Privacy Policy kunnen Customer Content en Usage Data van Free- en Pro-accounts persoonsgegevens bevatten en worden gebruikt voor modeltraining, ontwikkeling en menselijke kwaliteitsbeoordeling. Iedere gebruiker kan Use my Lovable content for model training uitschakelen in de accountinstellingen. De opt-out geldt prospectief voor data die daarna voor training wordt samengesteld; eerder samengestelde trainingssets of modellen worden niet teruggedraaid.

Werkruimtedata van Business en Enterprise is standaard uitgesloten van training en vereist geen opt-out. Lovable zegt dat contracten met externe modelaanbieders training door die aanbieders beperken. De DPA staat Lovable apart toe eigen modellen te trainen of tunen op Service Data, terwijl artikel 10 AI/ML-training op Customer Personal Data en op daarvan afgeleide gede-identificeerde data verbiedt. Inkoop moet controleren dat de gekochte werkruimte en elke bijdrager onder het bedoelde abonnement vallen voordat gegevens worden toegevoegd.

Residentie, DPA en bewaring

✅ Lovable Cloud ondersteunt door de klant gekozen EU-, VS- en Asia-Pacific-hosting voor appbackends en zegt dat Customer Data in Lovable Cloud standaard niet tussen regio's beweegt. Deze claim is beperkt tot Lovable Cloud; het kernplatform voor ontwikkeling en AI-aanbiederstromen vragen aparte beoordeling.
✅ De openbare DPA is inbegrepen bij Business en Enterprise. Ze neemt SCC Modules 2 en 3 en een UK Addendum op voor gedekte doorgiften en staat Lovable toe Service Data zelfstandig te verwerken voor analytics, beveiliging, facturering en productontwikkeling.
⚠️ Lovable's Privacy Policy gebruikt doelgebonden bewaring: accountdata en Customer Content blijven zolang het account open is en worden daarna verwijderd of gede-identificeerd na sluiting of een geverifieerd verwijderverzoek, behoudens wettelijke noodzaak. Operationele en beveiligingslogs mogen blijven zolang dat nodig is, en langer tijdens incidentonderzoek. De DPA geeft de klant na beëindiging 30 dagen om teruggave of verwijdering te instrueren; zonder instructie mag Lovable volgens zijn schema verwijderen of onomkeerbaar anonimiseren.
⚠️ De DPA verbiedt klanten om beschermde gezondheidsinformatie, financiële rekeningnummers, overheidsidentificatoren, biometrische data of andere door Lovable als gevoelig aangemerkte data aan te leveren.
✅ Lovable adverteert SOC 2 Type II en ISO 27001:2022. Certificeringen ondersteunen assurancebeoordeling, maar bewijzen niet dat een gegenereerde app veilig is. Klanten blijven verantwoordelijk voor gegenereerde code, toegangsregels, secrets, databases en productieconfiguratie.

Claims op de eerdere pagina over on-premises Enterprise-implementatie, een genoemde primaire modelaanbieder, onveranderlijke regionaliteit voor alle platformdata en een specifiek incident in april 2026 zijn weggelaten omdat deze audit geen actuele primaire bronsteun vaststelde.

4 EU-implementatie Checklist (Praktisch)

Gebruik Business of Enterprise als een verwerkers-DPA, SSO en standaarduitsluiting van training vereist zijn.
Sluit en archiveer de DPA; inspecteer actuele subprocessors en documenteer doorgiftemechanismen.
Schakel voor elke Free- of Pro-bijdrager Use my Lovable content for model training uit voordat data wordt toegevoegd; leg vast dat de maatregel prospectief werkt.
Selecteer de EU Lovable Cloud-regio voordat de productiebackend wordt gemaakt; documenteer welke stromen buiten die scope vallen.
Beoordeel AI-aanbieders, GitHub, Supabase/Lovable Cloud, connectors en ingezette appdiensten apart.
Scan gegenereerde code op blootgestelde secrets, gebrekkige toegangscontrole en onveilige databasepolicies; voer vóór productie een onafhankelijke beveiligingsreview uit.
Test export en verwijdering voor projecten, prompts, logs, appdata en back-ups. Leg verschillende bewaarregels vast.
Voer een DPIA uit waar de app of het ontwikkelproces waarschijnlijk een hoog risico oplevert.

5 Aandachtspunten & Voorbehouden

Open inkoopvragen

Vallen alle bijdragers onder een Business- of Enterprise-werkruimte en hoe classificeert Lovable hun Customer Content tegenover Service Data?
Welke prompt-, code-, account- en telemetriestromen blijven buiten de gekozen Lovable Cloud-regio?
Welke AI-aanbieders ontvangen per functie content, op welke locaties en hoe lang?
Welk operationeel schema geldt voor projectdata, logs, back-ups en de-identificatie na sluiting of een verwijderverzoek?
Welke SOC 2/ISO-scope dekt ontwikkelplatform, Lovable Cloud en AI gateway?

6 Referenties

7 Disclaimer

Deze pagina is een praktisch overzicht voor inkoop en gegevensrisico, geen juridisch advies. Geschiktheid hangt af van abonnement, ondertekende voorwaarden, opt-outstatus, appregio, subprocessors, maatregelen in de gegenereerde app en de GDPR-beoordeling van de klant.