Wie verwerkt jullie gegevens

Elke subverwerker die we inschakelen, waarvoor deze wordt gebruikt en onder welke jurisdictie deze valt. Deze lijst is samengesteld uit onze broncode, zodat deze niet stilletjes kan afwijken van wat we daadwerkelijk gebruiken.

Laatst bijgewerkt: 2026-08-02

Gegenereerd uit ons subverwerkerregister, niet handmatig bijgehouden: een nieuwe leverancier kan niet stilletjes worden toegevoegd en onze build faalt als code een gegevensverwerker bereikt die hier niet is vermeld.

Onze subverwerkers

Deze bedrijven verwerken persoonsgegevens in ons‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌ naam. Opslag, generatie en embeddings vinden plaats in EU‑datacenters. Verschillende aanbieders hieronder zijn gevestigd buiten de Europese Economische Ruimte, of hebben een moederbedrijf dat daar gevestigd is. Elke dergelijke rij is gemarkeerd: de jurisdictie geeft aan waar een bedrijf wettelijk verplicht kan worden, wat losstaat van de fysieke locatie van de gegevens. Elke rij vermeldt de geldende doorgiftebasis en welke partijen die aanbieder op zijn beurt inschakelt.

Subverwerker

Jurisdictie

Overdrachtsgrondslag

Status

Mistral AI SAS

LLM‑generatie: chatantwoorden, planning, agentloop, visie en invoermoderatie. De enige generatieprovider; er is geen fallback buiten de EU.

Prompts bevatten gebruikersvragen plus fragmenten uit opgehaalde documenten. Geen retentie en uitschakeling van training zijn instellingen op accountniveau bij deze provider, niet per verzoek, dus worden ze hier vastgelegd in plaats van per oproep te worden bevestigd.

Met wie zij samenwerken

Mistral Compute (FR): Cloudinfrastructuur voor alle producten. Hun eigen rekenafdeling, geen externe partij.
Microsoft Inc. (land niet vermeld door hen): Cloudinfrastructuur. Verwerking vindt plaats in Zweden en Noorwegen.
Google LLC (land niet vermeld door hen): Cloudinfrastructuur. Verwerking vindt plaats in Nederland, België en de Verenigde Staten.
CoreWeave Inc. (land niet vermeld door hen): Inferentieprovider. Verwerking vindt plaats in de EER.
Cloudflare Inc. (land niet vermeld door hen): Beveiliging en verkeersroutering. Verwerking vindt wereldwijd plaats.

Their disclosure lists 24 parties, several scoped to products we do not use. Recorded here are the infrastructure and inference providers whose stated scope covers the API. Their page states processing regions rather than countries of incorporation, so those regions are given in each purpose and jurisdiction is left unstated.

Volgens hun eigen openbaarmaking, gecontroleerd op 2026-07-31

Jurisdictie

eu-west (Frankrijk)

Overdrachtsgrondslag

Alleen EU, geen doorgifte naar derde landen

Status

Actief

Jina AI GmbH

Moederbedrijf: Elastic N.V. (US)

Tekstembedings en herrangschikking voor zoekopdrachten.

Geweigerd voor klantgegevens sinds 31 juli 2026: het platform start niet in productie met deze provider voor embeddings, dus kan het geen klantinhoud verwerken. Het blijft vermeld omdat de inloggegevens nog steeds in ontwikkeling worden gelezen, en het blijft de ontwikkelingsstandaard totdat de EU‑vervanging gereed is: embedding- en herrangschikkingsmodellen die we zelf hosten op EU‑hardware, of een beheerde API onder EU‑jurisdictie.

Nog niet vastgesteld. We hebben niet bevestigd welke subverwerkers deze aanbieder inschakelt.

Jurisdictie

eu-central (Berlijn)

Overdrachtsgrondslag

In onderzoek

Onderworpen aan niet‑EU jurisdictie

Status

Actief

Supabase, Inc.

Primaire gegevensopslag: Postgres (documenten, fragmenten, embeddings, tenants), authenticatie en standaard objectopslag.

Wordt vervangen door onze eigen Postgres en objectopslag op EU‑hardware. Deze migratie is nog niet gestart; totdat deze is voltooid, beheert deze provider het documentenbestand.

Met wie zij samenwerken

Amazon Web Services, Inc (land niet vermeld door hen): Hosting.
Cloudflare, Inc (land niet vermeld door hen): Hosting.
Google, LLC (land niet vermeld door hen): Hosting.
Fly.io, Inc (land niet vermeld door hen): Hosting.
Upstash, Inc (land niet vermeld door hen): Serverloze datahosting. Ook een subverwerker van ons op zichzelf.
Vercel, Inc (land niet vermeld door hen): Hosting. Ook een subverwerker van ons op zichzelf.

Their list is dated 1 June 2026 and names 19 parties without stating any country, so no jurisdiction is recorded for any of them. Recorded here are the six hosting providers; the remainder are their own support, sales and analytics tooling.

Volgens hun eigen openbaarmaking, gecontroleerd op 2026-07-31

Jurisdictie

aws eu-west-1 (Ierland)

Overdrachtsgrondslag

In onderzoek

Onderworpen aan niet‑EU jurisdictie

Status

Actief

Upstash, Inc.

Redis: API‑snelheidsbeperking, sessie‑intrekking, inbeddingscache en detectie van onmogelijke reizen.

Wordt vervangen door een cache die we zelf hosten op EU‑hardware. Deze migratie is nog niet gestart; tot die tijd verzorgt deze aanbieder de snelheidsbeperking en cachelagen.

Met wie zij samenwerken

Amazon Web Services (US): Cloudprovider.
Google (US): Cloudprovider.
Cloudflare, Inc. (US): Clouddiensten.
Humio (CrowdStrike Falcon LogScale) (DK): Logboekregistratie.

Their document states an address per party, used here as the jurisdiction. Several entries are scoped to products of theirs we do not use; those are excluded. Recorded here are the providers that could sit under the Redis service we consume.

Volgens hun eigen openbaarmaking, gecontroleerd op 2026-07-31

Jurisdictie

Regio is niet vastgelegd in de code en de implementatieregio van deze database is niet aangetoond. Bevat IP‑adressen en sessie‑ID's, waardoor Art. 30(1)(d)-(e) niet kan worden beantwoord.

Overdrachtsgrondslag

In onderzoek

Onderworpen aan niet‑EU jurisdictie

Status

Actief

Cloudflare, Inc.

DNS. Het hoofddomein wordt momenteel ook omgekeerd geproxied, dus Cloudflare beëindigt TLS hiervoor.

Onze beoogde instelling is DNS‑only, waardoor deze aanbieder alleen naamresolutie verzorgt en geen requestinhoud ziet. Het hoofddomein wordt vandaag nog steeds geproxied, dus het beëindigt momenteel TLS en ziet requestinhoud. Deze vermelding beschrijft de huidige situatie, niet de beoogde eindtoestand.

Met wie zij samenwerken

Amazon Web Services (AWS) (land niet vermeld door hen): E‑mailbeveiligingsproduct. Verwerking vindt plaats in de Verenigde Staten en EER.
Google LLC (land niet vermeld door hen): Developer Platform, Zero Trust en AI Gateway. Verwerking vindt plaats in de EER, Verenigde Staten, Australië en India.
Oracle America, Inc. (land niet vermeld door hen): Developer Platform en Cache Reserve. Verwerking vindt plaats in de Verenigde Staten, EER, VK, Japan, Australië, Canada en Singapore.
CoreWeave, Inc. (land niet vermeld door hen): Workers AI. Verwerking vindt plaats in de Verenigde Staten.
Nebius BV (land niet vermeld door hen): Workers AI. Verwerking vindt plaats in Engeland.

Their list is dated 1 October 2025 and states processing regions rather than countries of incorporation, so regions are given in each purpose. It also names 16 of their own group affiliates, which are not recorded here as external parties. Every entry below is scoped by them to a specific product; none is stated to apply to DNS.

Volgens hun eigen openbaarmaking, gecontroleerd op 2026-07-31

Jurisdictie

globaal edge‑netwerk (anycast)

Overdrachtsgrondslag

In onderzoek

Onderworpen aan niet‑EU jurisdictie

Status

Actief

Functional Software, Inc.

Monitoring van applicatiefouten en prestaties.

EU‑ingest is in code afgedwongen: de client faalt gesloten in plaats van naar een niet‑EU‑eindpunt te sturen, dus foutgebeurtenissen, spans en logs worden opgeslagen in Frankfurt. Sentry slaat desondanks account- en operationele metadata op in de VS, ongeacht de gekozen regio (cron‑check‑ins, organisatie‑instellingen en auditlogs, projectmetadata, DSN‑sleutels, toegangstokens, gebruiksgegevens) en slaat uptime‑controles in beide regio's op. Geen hiervan bevat persoonsgegevens van klanten, dus er ontstaat geen doorgifte op grond van hoofdstuk V; het blijft niettemin een restpost van opslag in de VS bij deze aanbieder, die net als de retentierestpost hierboven verdwijnt bij de overstap naar 0F Bugsink, wanneer foutopsporing, cron‑heartbeat en uptime‑controles allemaal verhuizen naar infrastructuur die wij zelf hosten.

Met wie zij samenwerken

Amazon Web Services, Inc. (land niet vermeld door hen): Cloudinfrastructuur. Verwerking vindt plaats in de EU en Verenigde Staten.
Cloudflare, Inc. (land niet vermeld door hen): Cloudinfrastructuur. Verwerking vindt plaats in de EU en de Verenigde Staten.
Google LLC (land niet vermeld door hen): Cloudinfrastructuur. Verwerking vindt plaats in de EU en de Verenigde Staten.

Their list is version 2.3.0 dated 1 June 2026 and states processing regions rather than countries of incorporation. Recorded here are the three cloud providers; the remainder are their email, support and group affiliates.

Volgens hun eigen openbaarmaking, gecontroleerd op 2026-07-31

Jurisdictie

ingest.de.sentry.io (Duitsland), VS‑regio (Iowa) voor account- en operationele metadata die buiten de gekozen regio wordt opgeslagen, ongeacht de instelling (cron‑check‑ins, organisatie‑instellingen en auditlogs, projectmetadata, DSN‑sleutels, tokens, gebruiksgegevens); uptime‑controles worden in beide regio's opgeslagen. Geen persoonsgegevens van klanten.

Overdrachtsgrondslag

In onderzoek

Onderworpen aan niet‑EU jurisdictie

Status

Actief

Sendinblue SAS (Brevo)

Transactie‑e‑mails (meldingen, accountmails).

Inactief totdat BREVO_API_KEY is geconfigureerd.

Met wie zij samenwerken

Google Cloud Platform (FR): Hosting. Servers staan in België.
Scaleway (Iliad) (FR): Hosting. Servers staan in Frankrijk.
OVH (FR): Hosting. Servers staan in Frankrijk.
Hetzner Online GmbH (DE): Hosting. Servers staan in Duitsland. Is ook zelf een subverwerker van ons.
Cloudflare (US): CDN en WAF. Servers staan in de Verenigde Staten en de EU.

Their DPA annex separates infrastructure sub-processors from the rest and states a registered office for each, used here as the jurisdiction. Recorded here is that infrastructure section.

Volgens hun eigen openbaarmaking, gecontroleerd op 2026-07-31

Jurisdictie

eu-west (Frankrijk)

Overdrachtsgrondslag

Alleen EU, geen doorgifte naar derde landen

Status

Actief

Hetzner Online GmbH

S3-compatibele objectopslag voor onbewerkte documentbytes.

Alleen ingeschakeld als STORAGE_PROVIDER=s3; de standaard opslagprovider is Supabase.

Met wie zij samenwerken

Hetzner Finland Oy (FI): Gebouwhuur en technische ondersteuning.
Hetzner US LLC (US): Serververhuur voor hun Amerikaanse site. (bedient regio's die wij niet gebruiken, volgens hun openbaarmaking)
NTT Global Data Centers Americas, Inc. (US): Colocatie voor hun Amerikaanse site. (bedient regio's die wij niet gebruiken, volgens hun openbaarmaking)
QTS Investment Properties Hillsboro, LLC (US): Colocatie voor hun Amerikaanse site. (bedient regio's die wij niet gebruiken, volgens hun openbaarmaking)
Hetzner Singapore Pte. Ltd. (SG): Serververhuur voor hun Singaporese site. (bedient regio's die wij niet gebruiken, volgens hun openbaarmaking)
NTT Global Data Centers SG1 Pte Ltd (SG): Colocatie voor hun Singaporese site. (bedient regio's die wij niet gebruiken, volgens hun openbaarmaking)

Their annex is version 1.0 dated 6 August 2024 and names six parties, all of them infrastructure, with a location for each. They state that data on EU-located servers is processed exclusively within the EU; the non-EU entities below serve their US and Singapore sites, which we do not use.

Volgens hun eigen openbaarmaking, gecontroleerd op 2026-07-31

Jurisdictie

nbg1 (Neurenberg)

Overdrachtsgrondslag

Alleen EU, geen doorgifte naar derde landen

Status

Actief

Vercel Inc.

Applicatiehosting en geplande taken (huidige implementatiedoel).

Wordt vervangen door applicatiehosting die we zelf beheren op EU‑hardware. Deze migratie is nog niet gestart; totdat dit is voltooid, levert deze aanbieder de applicatie.

Met wie zij samenwerken

Amazon Web Services, Inc. (US): Hosting, opslag en generatieve AI.
Google LLC (US): Cloud computing, opslag en generatieve AI.
Microsoft Corporation (US): Hosting, opslag en generatieve AI.
Upstash, Inc. (US): Serverloze opslag. Is ook zelf een subverwerker van ons.
Neon (US): Serverloze opslag.
Redis Labs, Inc. (US): Realtime logging en beveiliging.

Their list names 28 parties with a location each, used here as the jurisdiction. Recorded here are the six providing hosting or storage; the remainder are their monitoring, support and AI-feature vendors.

Volgens hun eigen openbaarmaking, gecontroleerd op 2026-07-31

Jurisdictie

globaal edge‑netwerk

Overdrachtsgrondslag

In onderzoek

Onderworpen aan niet‑EU jurisdictie

Status

Actief

Onderworpen aan niet‑EU jurisdictie

Dit bedrijf, of het moederbedrijf, is gevestigd buiten de EER. Hierdoor kan het onderworpen zijn aan buitenlandse wettelijke verplichtingen, zelfs als de gegevens zelf in de EU worden opgeslagen.

Wijzigingen en je recht om bezwaar te maken

We kondigen minimaal 30 dagen van tevoren aan als een nieuwe subverwerker jullie gegevens gaat verwerken, en jullie kunnen bezwaar maken. Elke vermelding toont de startdatum, niet de datum waarop we deze pagina hebben aangepast.

Machineleesbaar

Deze lijst wordt samengesteld vanuit een register in onze broncode, waardoor deze meebeweegt met de code in plaats van dat iemand eraan denkt om een pagina handmatig bij te werken. Hetzelfde register wordt als JSON gepubliceerd op het onderstaande adres. Het bevat alle vermeldingen met hun status, inclusief geplande toevoegingen tijdens de meldingsperiode en verwijderde leveranciers. Zo kun je elke wijziging vergelijken met een eerdere versie, in plaats van deze zomaar te moeten vertrouwen.

/api/trust/subprocessors