GDPR · Verwerkingsregister
Voor het verwerken van persoonsgegevens schakelen we de onderstaande subverwerkers in. Komt er een partij bij of wordt er een vervangen, dan berichten we de beheerders van je omgeving ten minste dertig dagen vooraf. Moeten we een partij vervangen omdat zij wegvalt of om een beveiligingsprobleem te verhelpen dat geen uitstel duldt, dan berichten we onverwijld en uiterlijk binnen vijf werkdagen erna, met de reden. In beide gevallen kan je bezwaar maken en de betrokken dienst of het abonnement kosteloos opzeggen — de verwerkersovereenkomst regelt dat in artikel 9.
Laatst bijgewerkt: september 2026 — in overeenstemming met bijlage B.1 van verwerkersovereenkomst v1.1
| Subverwerker | Doel | Locatie verwerking | Waarborgen |
|---|---|---|---|
| Supabase Pte. Ltd. (Singapore) | Database (PostgreSQL), authenticatie, opslag van geüploade documenten (medische attesten) | EU — Ierland (AWS-regio eu-west-1) | EU Standard Contractual Clauses; versleuteling in rust toegezegd in hun verwerkersovereenkomst, TLS in transit, SOC 2 Type II — volgens opgave van de leverancier |
| Microsoft Ireland Operations Ltd. (Microsoft Azure) | Hosting van de webapplicatie (App Service) en versturen van transactionele e-mails (login, notificaties, correctie-flow) via Azure Communication Services | EU — Azure-regio West Europe (Nederland) | EU Data Boundary, SCC's, encryptie at rest, TLS in transit, ISO 27001/27017/27018, SOC 1/2/3, EU Cloud Code of Conduct |
| Functional Software, Inc. (Sentry) | Foutopsporing en crashrapportering van de webapp en de mobiele apps (iOS & Android), zodat we storingen snel kunnen detecteren en oplossen | EU-dataregio, ingesteld op accountniveau | Verwerkersovereenkomst versie 5.1.0, aangegaan 18 augustus 2026; EU-US Data Privacy Framework en SCC's; TLS in transit. Uit de webtoepassing gaat geen gebruikersidentificatie mee. Uit onze iOS-apps gaat wél het gebruikersnummer van de aangemelde gebruiker mee: dat bevat geen naam en geen e-mailadres, maar wijst steeds dezelfde persoon aan en is bij ons aan hem te koppelen. Geen session replay, geen schermafbeeldingen. Of het ruwe IP-adres via de standaard verzoek-headers wordt bewaard, hebben wij niet vastgesteld |
| Mollie B.V. (betaalpartner) | Verwerking van abonnementsbetalingen (SEPA-domiciliëring) en het aanmaken en verzenden van facturen voor het Standard-abonnement. Verwerkt naam, e-mail, IBAN en factuurgegevens van de Klant-onderneming — géén werknemersgegevens | EU — Nederland | Vergunde betaalinstelling onder DNB-toezicht (PSD2), verwerking binnen de EU, TLS-encryptie |
| Cloudflare, Inc. (DNS, CDN & Turnstile) | DNS voor onze domeinen, contentlevering (CDN) voor mijnuren.be, en botbescherming (Turnstile) op het registratieformulier van app.mijnuren.be. Verwerkt daarbij het IP-adres en technische verzoekgegevens van de bezoeker — géén werknemers- of inhoudsgegevens. De klantomgeving zelf wordt rechtstreeks door Azure bediend en loopt niet over dit netwerk | Wereldwijd edge-netwerk; moederbedrijf in de VS | EU-US Data Privacy Framework + SCC's, TLS-encryptie, ISO 27001. Verwerkt enkel technische metadata (IP-adres, request-headers) |
| Microsoft Ireland Operations Limited (tekstherkenning op bonnetjes) | Azure AI Document Intelligence. Ontvangt de volledige afbeelding van een onkostenbon om bedrag, datum, btw en handelaar voor te stellen. Bij gebruik van de module Onkosten in een bedrijfsomgeving, en bij een bonnetje-foto in MijnUren Solo — daar tot 12 oktober 2026 alleen voor wie op de toegangslijst staat, vanaf dan voor iedereen. Microsoft bewaart invoer en resultaat maximaal 24 uur; wij vragen na elke analyse zelf de verwijdering aan, waardoor die bewaartijd bij normale werking seconden is | EU — Azure-regio West Europe (Nederland) | Microsoft Products and Services Data Protection Addendum, onderdeel van ons Microsoft Customer Agreement; EU Data Boundary. Of invoer van dit model voor algemene modelverbetering wordt gebruikt, doet Microsoft voor deze dienst geen uitspraak over en hebben wij niet vastgesteld |
| Microsoft Ireland Operations Limited (afstandsberekening) | Azure Maps. Ontvangt straat, postcode en gemeente van een werf en van de zelfstandige om de afstand ertussen te berekenen. Alleen bij de module Onderaanneming, en alleen vanaf versie 1.5 van de Solo-app voor iOS — oudere versies sturen het adres nog rechtstreeks vanaf het toestel naar Nominatim en openrouteservice, zoals de Verwerkingsbijlage beschrijft. Geen naam, geen e-mailadres, geen accountgegevens; het IP-adres van de zelfstandige bereikt Microsoft niet, omdat onze server ertussen staat | EU — Europees eindpunt van de dienst | Zelfde contractspartij als de twee Microsoft-rijen hierboven: Microsoft Products and Services Data Protection Addendum onder ons Microsoft Customer Agreement. Microsoft schakelt voor kaartmateriaal eigen leveranciers in; welke dat zijn hebben wij niet vastgesteld |
| Microsoft Ireland Operations Limited (back-up van bestanden) | Azure Blob Storage. Elke nacht gaat een kopie van elk geüpload bestand — documenten, onkostenbonnen, medische attesten — hierheen, versleuteld vóór verzending met een sleutel die alleen wij beheren; Microsoft kan de inhoud niet lezen. Verwijder je een bestand in de toepassing, dan is de volgende nacht ook deze kopie weg; oudere versies verdwijnen na dertig dagen vanzelf. Draait sinds 19 augustus 2026 en dekt ook de bonnetjes van MijnUren Solo, die in dezelfde opslag staan | EU — Azure-regio West Europe (Nederland) | Microsoft Products and Services Data Protection Addendum, onderdeel van ons Microsoft Customer Agreement; EU Data Boundary — dezelfde contractspartij als de andere Microsoft-rijen hierboven. Vastgelegd in bijlage B.1 van de verwerkersovereenkomst standard, versie 1.1 |
| BRBX BV h.o.d.n. Recommand (Peppol-toegangspunt) | Verzendt elektronische facturen van zelfstandigen via het Peppol-netwerk. Alleen bij de module Onderaanneming, in twee stappen. Zet een zelfstandige een e-factuur klaar, dan gaat alleen het Peppol-adres van zijn opdrachtgever ernaartoe om te toetsen of die bereikbaar is — ook als de factuur daarna niet verstuurd wordt. Verstuurt hij haar wél, dan ontvangt Recommand naam, adres, ondernemings- en btw-nummer en de factuurregels | EER — volgens opgave van de leverancier; de plaats van verwerking hebben wij niet zelf vastgesteld | Hun gepubliceerde verwerkersovereenkomst geldt voor elke gebruiker van de dienst, naar Belgisch recht; voor beperkte doorgifte gelden EU Standard Contractual Clauses |
Vereist jullie IT-beleid een single-vendor of Azure-only opzet? Laat het ons weten. Dat is vandaag geen standaardoptie: we bekijken per dossier wat haalbaar is en wat het kost, en zeggen het eerlijk als het niet past.
Vraag een Azure-offerte aan →Opslag en primaire verwerking van je persoonsgegevens gebeuren binnen de Europese Economische Ruimte. Sommige subverwerkers hebben een moederbedrijf of ondersteunende vestigingen buiten de EER en kunnen daardoor voor ondersteuning of onderhoud toegang hebben vanuit een derde land; wij kunnen dat niet uitsluiten. Waar dat gebeurt, geldt het als een doorgifte en gelden de waarborgen van hoofdstuk V AVG — een adequaatheidsbesluit, het EU-US Data Privacy Framework of EU Standard Contractual Clauses. Eén verwerking loopt bewust over een wereldwijd netwerk: de botbescherming op ons registratieformulier, die daarbij je IP-adres en technische verzoekgegevens verwerkt. Je omgeving zelf wordt rechtstreeks door Azure bediend en loopt daar niet over.
De volledige DPA (Data Processing Agreement) sluiten we standaard af bij elke nieuwe klant. Vraag het document op als je het vooraf wil inkijken.
Komt er een nieuwe subverwerker bij of wordt er een vervangen, dan brengen we klant-admins minstens 30 dagen vooraf op de hoogte via e-mail. Ben je het niet eens met een nieuwe subverwerker, dan kan je de betrokken dienst of het abonnement kosteloos opzeggen tegen de datum waarop de wijziging ingaat.
Werknemers oefenen hun rechten uit via hun werkgever. Inzage en export regelt de HR-beheerder zelf in de omgeving. Het definitief wissen van de gegevens van één medewerker is geen functie in het product: dat voeren wij op schriftelijk verzoek van de werkgever uit, binnen dertig dagen, zoals artikel 12 van de verwerkersovereenkomst beschrijft. We begeleiden je bij vragen.