GDPR · Verwerkingsregister
Voor het verwerken van persoonsgegevens schakelen we de onderstaande subverwerkers in. Je krijgt vooraf bericht bij iedere wijziging in deze lijst, conform onze verwerkersovereenkomst.
Laatst bijgewerkt: juli 2026
| Subverwerker | Doel | Locatie verwerking | Waarborgen |
|---|---|---|---|
|
Supabase Inc.
Vervangbaar door Azure op aanvraag
|
Database (PostgreSQL), authenticatie, opslag van geüploade documenten (medische attesten) | EU — Ierland, Dublin (AWS-regio eu-west-1) | SCC's (EU Standard Contractual Clauses), encryptie at rest (AES-256), TLS in transit, SOC 2 Type II |
| Microsoft Ireland Operations Ltd. (Microsoft Azure) | Hosting van de webapplicatie (App Service) en versturen van transactionele e-mails (login, notificaties, correctie-flow) via Azure Communication Services | EU — regio West Europe (datacenter Amsterdam, met failover Dublin) | EU Data Boundary, SCC's, encryptie at rest, TLS in transit, ISO 27001/27017/27018, SOC 1/2/3, EU Cloud Code of Conduct |
| Functional Software, Inc. (Sentry) | Foutopsporing en crashrapportering van de webapp en de mobiele apps (iOS & Android), zodat we storingen snel kunnen detecteren en oplossen | EU — dataregio Frankfurt (Duitsland), ingesteld op accountniveau | SCC's, encryptie in transit (TLS). Foutdiagnostiek met een gepseudonimiseerde gebruikers-ID — geen naam, e-mail of IP-adres, geen session replay of screenshots |
| Mollie B.V. (betaalpartner) | Verwerking van abonnementsbetalingen (SEPA-domiciliëring) en het aanmaken en verzenden van facturen voor het Standard-abonnement. Verwerkt naam, e-mail, IBAN en factuurgegevens van de Klant-onderneming — géén werknemersgegevens | EU — Nederland (Amsterdam) | Vergunde betaalinstelling onder DNB-toezicht (PSD2), verwerking binnen de EU, TLS-encryptie |
| Cloudflare, Inc. (DNS, CDN & Turnstile) | DNS, contentlevering (CDN) en botbescherming (Turnstile-CAPTCHA) op de login en publieke formulieren. Verwerkt hierbij het IP-adres en technische verzoekgegevens van de bezoeker — géén werknemers- of inhoudsgegevens | Wereldwijd edge-netwerk; moederbedrijf in de VS | EU-US Data Privacy Framework + SCC's, TLS-encryptie, ISO 27001. Verwerkt enkel technische metadata (IP-adres, request-headers) |
Vereist jullie IT-beleid een single-vendor of Azure-only stack? Dan vervangen we Supabase door equivalente Azure-diensten (Azure Database for PostgreSQL, Microsoft Entra ID voor authenticatie, Azure Blob Storage voor bestanden). Dan vervalt Supabase als subverwerker voor de opslag van je kerngegevens en blijft Microsoft de infrastructuurleverancier; de subverwerkers voor betalingen (Mollie), foutopsporing (Sentry) en botbescherming/CDN (Cloudflare) blijven van toepassing. Vraag een offerte voor de gekozen regio en service tier.
Vraag een Azure-offerte aan →Alle persoonsgegevens worden uitsluitend in EU-datacenters opgeslagen en verwerkt. Sommige subverwerkers hebben een moederbedrijf buiten de EU; in dat geval leggen we contractueel een EU-dataregio en EU Standard Contractual Clauses (SCC's) op, zodat je kerngegevens de EU niet verlaten. Eén uitzondering: onze botbescherming en CDN (Cloudflare) kunnen technische metadata zoals je IP-adres op een wereldwijd edge-netwerk verwerken; dat gebeurt onder het EU-US Data Privacy Framework en SCC's en betreft geen werknemers- of inhoudsgegevens.
De volledige DPA (Data Processing Agreement) sluiten we standaard af bij elke nieuwe klant. Vraag het document op als je het vooraf wil inkijken.
Komt er een nieuwe subverwerker bij of wordt er een vervangen, dan brengen we klant-admins minstens 30 dagen vooraf op de hoogte via e-mail. Ben je het niet eens met een nieuwe subverwerker, dan kan je de betrokken dienst of het abonnement kosteloos opzeggen tegen de datum waarop de wijziging ingaat.
Werknemers kunnen op elk moment hun gegevens opvragen of laten verwijderen. HR-admins beheren dit via de instellingen; we begeleiden je bij vragen.