Subverwerkers

Dit document is in meerdere talen gepubliceerd. Bij verschillen tussen de taalversies is de Poolse versie bindend.

Versie 1.1 · Laatst bijgewerkt: 22 oktober 2026

Welke derden bij formexposed gegevens ontvangen, met welk doel, waar en op welke grondslag. Deze lijst maakt als Bijlage 3 deel uit van de Verwerkersovereenkomst. Toegestane subverwerkers in de zin van die overeenkomst zijn alleen de in paragraaf 2 vermelde; de paragrafen 3 tot en met 6 informeren over verdere ontvangers en vormen geen toestemming.

1. Het korte antwoord

De servers, de database en de rekenkracht, ook voor het taalmodel, exploiteren wij zelf in Polen. Er is geen hosting-, cloud- of AI-provider bij betrokken. Subverwerkers in de zin van Art. 28(2) en (4) AVG, dus derden die in onze opdracht gegevens van onze Klanten verwerken, zijn er voor slechts één taak: e-mail.

Daarnaast zijn er ontvangers die geen subverwerkers zijn. Wij vermelden ze hier toch, gescheiden naar reden, zodat het beeld volledig is:

• ontvangers die gegevens als zelfstandige verwerkingsverantwoordelijke verwerken (paragraaf 3),
• ontvangers die de Klant kiest wanneer hij meldingen daarheen laat sturen (paragraaf 4),
• query’s aan derden die geen persoonsgegevens bevatten (paragraaf 5).

2. Subverwerkers

Ontvanger en vestigingsplaats	Doel	Gegevens	Plaats van verwerking	Grondslag voor doorgifte
Namecheap, Inc. (Private Email), Phoenix, Arizona, USA	Verzenden van de e-mails van de dienst (bevestigingen, meldingen, rapporten, maandelijkse rapporten aan abonnees van een klantportaal); mailbox van de bezorgcontrole	E-mailadressen van ontvangers, onderwerp en inhoud van de e-mails. In de mailbox van de bezorgcontrole: kopieën van de formuliere-mails van websites van Klanten met alles wat bezoekers daar invoeren, totdat wij ze verwerken	Nog te verifiëren	De verwerkersovereenkomst van de provider; of gegevens naar een derde land gaan en op welke grondslag, is nog te verifiëren, zie paragraaf 7
Namecheap, Inc., Phoenix, Arizona, VS	Registratie van de domeinen, DNS; totdat de mailbox bij Namecheap, Inc. (Private Email), Phoenix, Arizona, USA is ingericht, doorsturen van algemene e-mails aan adressen op ons domein. De controlekopieën van de bezorgcontrole gaan niet via Namecheap; ze gaan rechtstreeks naar de mailbox	Domeingegevens; bij doorsturing inhoud en headers van algemene e-mails aan ons, geen kopieën van formuliere-mails	VS, te verifiëren	Data Processing Addendum van Namecheap; modelcontractbepalingen of Data Privacy Framework – te verifiëren, zie paragraaf 7

Of de verwerkersgegevens van een Klant deze ontvangers überhaupt bereiken, hangt af van zijn instellingen: zonder bezorgcontrole gaan er geen formuliere-mails heen; zonder klantportaal gaan er geen e-mails naar de abonnees daarvan. Het contactpunt voor gegevensbescherming van elke subverwerker verstrekken wij op verzoek.

Niet betrokken: Bij controles, screenshots, inloggegevens voor de scan achter de login, browsertrajecten of “Fix it for me” is geen derde betrokken. Het taalmodel draait op onze eigen server. Het land van een IP-adres bepalen wij aan de hand van een lokaal databasebestand; er gaat geen adres naar een geolocatiedienst. Onze internetprovider geeft het verkeer, grotendeels versleuteld, alleen door en is geen subverwerker.

3. Ontvangers als zelfstandige verwerkingsverantwoordelijken

Ontvanger en vestigingsplaats	Doel	Gegevens	Locatie	Grondslag
Stripe Payments Europe, Ltd., Dublin, Ierland; voor doorgiften naar de VS Stripe, Inc.	Betalingsverwerking en facturen voor klantaccounts	E-mailadres, naam, factuuradres, btw-id, betaalgegevens (alleen bij Stripe ingevoerd, ze bereiken ons nooit); bij ons alleen klant- en abonnements-ID en status	EU / VS	Voor betaalgegevens treedt Stripe grotendeels op als zelfstandige verwerkingsverantwoordelijke; de exacte rolverdeling is te verifiëren. Doorgifte naar de VS: Data Privacy Framework of modelcontractbepalingen – te verifiëren
Google Ireland Limited, Dublin, Ierland; Google LLC, VS	Botbescherming (reCAPTCHA) op onze eigen formulieren: registratie, login, wachtwoord, gratis controle, headertool, opt-out, support en contact	IP-adres, browser- en apparaatgegevens, gedrag op de pagina, Google-cookies. Het script wordt pas bij het verzenden geladen. Het draait niet op websites van Klanten	EU / VS	Voorwaarden van Google; Data Privacy Framework of modelcontractbepalingen – te verifiëren

Deze ontvangers betreffen onze eigen verwerking, niet verwerkersgegevens. Details staan in de Privacyverklaring.

4. Door de Klant gekozen ontvangers

Meldingen en overzichten gaan waar de Klant ze wil hebben: per e-mail (via de e-maildienstverlener in paragraaf 2), naar een webhookadres of naar een chatdienst. De huidige opties zijn:

• Slack, Discord, Microsoft Teams en Google Chat via een adres dat de Klant in zijn account bij die dienst aanmaakt;
• Telegram: een door de Klant gekozen bestemming; wij sturen het bericht via onze bot nadat de ontvanger de chat zelf aan de bot heeft gekoppeld;
• webhooks naar elk openbaar HTTPS-adres op de standaardpoort, op verzoek ondertekend.

Gegevens: domein, gebeurtenis, tijdstip en een link naar de dienst, bij meldingen over een controle naar het rapport daarvan, dat via deze link zonder inloggen kan worden gelezen; bij webhooks dezelfde gegevens in machineleesbare vorm. Geen inhoud van formuliere-mails; een melding van de bezorgcontrole kan het e-maildomein van de afzender noemen als dat niet bij de website hoort.

Rol: Slack, Discord, Microsoft Teams, Google Chat en de ontvangers van webhooks zijn niet onze subverwerkers. De doorgifte vindt alleen plaats omdat de Klant de bestemming instelt; dat is de instructie van de Klant. Voor Slack, Discord, Microsoft Teams, Google Chat en webhooks liggen de contractuele relatie met de betreffende aanbieder en een eventueel vereiste grondslag voor een doorgifte naar een derde land bij de Klant. Voor Telegram sturen wij het bericht via onze eigen bot; ook hier is de keuze van de bestemming de uitdrukkelijke instructie van de Klant om de meldingen daarheen door te geven. Of Telegram in dit opzicht onze subverwerker is en op welke grondslag deze doorgifte plaatsvindt, is nog niet definitief vastgesteld en ligt ter beoordeling bij onze advocaat. Mocht Telegram een subverwerker zijn, dan geldt de keuze van de Klant voor deze bestemming als specifieke toestemming van de Klant op grond van Art. 28(2) AVG voor dit doel. Meerdere van deze aanbieders verwerken gegevens in de VS; Telegram is gevestigd buiten de EU in een land zonder adequaatheidsbesluit, en de grondslag uit hoofdstuk V AVG waarop de doorgifte naar Telegram plaatsvindt, is nog niet definitief vastgesteld. Wie dat niet wil, kiest e-mail of een andere bestemming.

5. Query’s zonder persoonsgegevens

Sommige functies raadplegen derden. Er gaan alleen domeinnamen, serveradressen, controlewaarden of versienummers naar buiten, geen gegevens over Klanten of bezoekers. Deze derden zijn daarom geen subverwerkers.

Ontvanger	Doel	Wat er naar buiten gaat
RDAP-diensten van de domeinregisters, gevonden via de IANA-directory; voor het controleren van de domeinleeftijd in de gratis controle via de doorgeefdienst rdap.org	Leeftijd en vervaldatum van een domein	alleen de domeinnaam
WPVulnerability (wpvulnerability.net)	Bekende beveiligingslekken in WordPress, WordPress-extensies en thema’s	alleen de identificator van een extensie of thema, of het versienummer van WordPress
Statuspagina’s van aanbieders die Klanten gebruiken (zoals CAPTCHA- en e-maildiensten)	Melding van storingen bij deze aanbieders	niets behalve het verzoek zelf
Tijdstempelautoriteiten Certum (Asseco Data Systems S.A., Polen), als alternatief DigiCert, Inc. (VS)	Tijdstempels voor bewijslogs	alleen een controlewaarde (SHA-512) van het log, niet de inhoud ervan
DNS-blokkadelijsten voor spam: SpamCop, PSBL, Mailspike en SURBL (Spamhaus alleen met eigen toegang)	Controleren of de mailserver of het domein van een Klant op een lijst staat	domeinen en IP-adressen van servers (mailservers, webservers), geen persoonsgegevens van bezoekers
Google Web Risk, alleen indien ingericht	Controleren van de homepage van een Klant op vermeldingen wegens malware of phishing	alleen het adres van de homepage
Telegram, operationele meldingen	Signalen aan de exploitant bij storingen en nieuwe supportverzoeken	vaste teksten zonder afzender, inhoud of adressen
Certificeringsinstantie voor TLS	Uitgifte van de certificaten voor onze domeinen	alleen onze eigen domeinnamen

6. Voorbereid, momenteel niet in gebruik

De dienst kan browsercontroles en formulierverzoeken aanvullend laten bevestigen vanaf een tweede, onafhankelijke locatie. Dit meetpunt is momenteel niet ingericht. Als een derde het later exploiteert, is die derde een subverwerker en wordt hij vooraf aangekondigd overeenkomstig paragraaf 8. Hij zou het domein, de opgeschoonde configuratie van het browsertraject en een taak-ID ontvangen, maar geen inloggegevens en geen gegevens van bezoekers.

7. Wat nog openstaat

Deze lijst is een concept van vóór de lancering. Wij zeggen openlijk wat nog niet is geregeld:

• E-maildienstverlener: Namecheap, Inc. (Private Email), Phoenix, Arizona, USA is beoogd. Waar de aanbieder de gegevens verwerkt en op welke grondslag deze naar een derde land mogen gaan, is nog te verifiëren. Of de verwerkersovereenkomst van de aanbieder voor dit gebruik is aanvaard, waar de mailboxen zich feitelijk bevinden, welke verdere subverwerkers de aanbieder inschakelt en welke module van de modelcontractbepalingen van toepassing is, moet nog worden gedocumenteerd. Het openbaar beschikbare Data Processing Addendum alleen bewijst niet dat een overeenkomst is gesloten. Totdat dit is gedocumenteerd, gaan er via deze aanbieder geen verwerkersgegevens naar buiten; het moet daarom vóór de lancering zijn geregeld.
• Data Privacy Framework: Wij hebben voor deze versie niet gecontroleerd of Namecheap, Stripe en Google voor de betreffende diensten gecertificeerd zijn onder het EU-U.S. Data Privacy Framework. Wij beweren het daarom niet; waar een certificering ontbreekt, gelden modelcontractbepalingen.
• Rol van Stripe voor de afzonderlijke gegevens.
• Telegram-meldingen: de grondslag voor de doorgifte wanneer een Klant Telegram als bestemming kiest en wij het bericht via onze bot versturen.

8. Wijzigingen in deze lijst

Wij schakelen subverwerkers in op basis van de algemene toestemming in de Verwerkersovereenkomst. Voordat een nieuwe subverwerker met de verwerking begint of een bestaande wordt vervangen, informeren wij Klanten ten minste 30 dagen van tevoren per e-mail aan het adres van de accounthouder en kondigen wij de wijziging aan op deze pagina en in het overzicht Wijzigingen in de contractdocumenten. De kennisgeving vermeldt de ontvanger, vestigingsplaats, doel, gegevens, locatie en grondslag voor de doorgifte.

Binnen deze termijn kan de Klant om een redelijke reden die verband houdt met gegevensbescherming in tekstvorm bezwaar maken. Totdat een oplossing is gevonden, gebruiken wij de nieuwe subverwerker niet voor de verwerkersgegevens van de Klant of schorten wij de betreffende functie voor de Klant op. Als er geen oplossing kan worden gevonden, kan de Klant de overeenkomst voor de dienst of het betreffende onderdeel van de dienst opzeggen; vooruitbetaalde vergoedingen voor de periode na de opzegging betalen wij naar evenredigheid terug. De details staan in de Verwerkersovereenkomst. Voor subverwerkers zijn wij jegens de Klant aansprakelijk als voor ons eigen handelen.

Wijzigingen in de paragrafen 3 tot en met 5 die geen subverwerkers betreffen, publiceren wij hier met een nieuw versienummer, zonder voorafgaande aankondiging.

9. Status en versie

• Versie 1.1 · Laatst bijgewerkt: 22 oktober 2026 · bij afwijkingen tussen de taalversies heeft de Poolse versie voorrang in plaats van de Duitse; verder geen wijzigingen.
• Versie 1.0 · Laatst bijgewerkt: 11 oktober 2026 · eerste versie als afzonderlijke pagina; voorheen Bijlage 3 bij de Verwerkersovereenkomst. Nieuw: indeling in subverwerkers, ontvangers als zelfstandige verwerkingsverantwoordelijken, door de Klant gekozen bestemmingen en query’s zonder persoonsgegevens; openstaande punten uitdrukkelijk benoemd.
• Bij afwijkingen tussen de taalversies heeft de Poolse versie voorrang.