Waar uw gegevens staan en wie erbij kan

5 van de 6 subverwerkers staan in de EU

Database en hosting draaien in Frankfurt, e-mail en rate limiting in Dublin, betalingen bij Mollie in Amsterdam. Eén partij zit buiten de EU: Anthropic levert de AI-functies vanuit de Verenigde Staten.

Wij kondigen een wijziging in deze lijst minimaal 30 dagen vooraf aan bij elke organisatie-eigenaar van een betaald plan. De volledige lijst met toelichting staat op subverwerkers.

Welke maatregelen wij hebben getroffen

Deze tien staan als harde toezegging in artikel 8 van de verwerkersovereenkomst. Het is dus geen intentieverklaring op een marketingpagina, maar tekst waar u ons aan kunt houden.

• Encryptie in transit (TLS 1.2 of hoger) voor alle verbindingen met het Platform.
• Encryptie at rest op databases en back-ups (AES-256 bij Supabase).
• Toegangsbeheer met Row Level Security (RLS) op databaseniveau, waarbij gegevens gescheiden zijn per organisatie.
• Verplichte multi-factor authenticatie (MFA) voor beheerderstoegang van de Verwerker tot het Platform.
• Audit-logging van gebruikersacties en plan-wijzigingen.
• Periodieke back-ups met geografische redundantie binnen de EU.
• Secure Software Development Lifecycle, inclusief code review en afhankelijkheidsscans.
• Incident-responseprocedure en datalek-meldprocedure.
• Rate limiting, input-sanitization en misbruikpreventie op publieke endpoints.
• Schemawijzigingen worden vóór uitvoering getest in een teruggedraaide transactie tegen het productieschema, of op een geïsoleerde databasekopie.

Wij evalueren deze maatregelen minimaal jaarlijks. Op verzoek sturen wij het actuele overzicht toe.

Wie er van onze kant bij kan

Voor support moet een beheerder soms in uw omgeving kunnen kijken. Die mogelijkheid is beperkt tot een vaste lijst beheerders bij ons. Sinds 10 september 2026 rondt zo'n beheerder eerst een tweede factor af voordat hij erbij kan. Elke keer dat zo’n toegang wordt aangemaakt, legt het platform vast welke beheerder het deed, voor welke organisatie en wanneer. Die regel komt in het auditlogboek van uw eigen organisatie terecht en zit in de gegevensexport, dus u kunt hem opvragen zonder dat wij hem hoeven aan te leveren.

Wat er gebeurt bij een datalek

Wij informeren u zonder onredelijke vertraging, en uiterlijk binnen 72 uur nadat wij kennis hebben genomen van een datalek dat uw persoonsgegevens raakt. De melding bevat de aard van het lek, de categorieën en het geschatte aantal betrokkenen en records, de waarschijnlijke gevolgen, en de maatregelen die wij nemen. Artikel 33 lid 2 AVG eist van een verwerker alleen "zonder onredelijke vertraging"; die 72 uur is een aanscherping die wij contractueel op ons hebben genomen.

Daarna is het aan u. De melding bij de Autoriteit Persoonsgegevens doet u zelf binnen 72 uur (artikel 33 lid 1 AVG), en bij een hoog risico informeert u ook de betrokkenen zelf (artikel 34 AVG). Dat zijn andere termijnen dan de onze: die van u loopt vanaf het moment dat ú het weet. Wij leveren de informatie die u daarvoor nodig heeft. Vindplaats: artikel 12 van de verwerkersovereenkomst.

Hoe u dit zelf controleert

Op schriftelijk verzoek krijgt u de actuele subverwerkerslijst en het overzicht van technische en organisatorische maatregelen. Een audit op locatie kan eenmaal per jaar, na een aankondiging van 30 dagen en tijdens kantooruren. De kosten daarvan draagt u zelf, tenzij de audit een ernstige tekortkoming van onze kant aantoont. Wij hebben vandaag geen ISO 27001- of SOC 2-certificering; het auditrecht in artikel 15 is wat daarvoor in de plaats komt.