Sub-verwerkers
Alle subverwerkers: wat ze doen, waar gegevens worden verwerkt en de status.
Concept: dit document wordt nog door een jurist beoordeeld. Tekst tussen [vierkante haken] is een placeholder die vóór de definitieve versie wordt ingevuld.
CONCEPT v0.1 (2026-10-23). Geen juridisch advies. Controleer per aanbieder de verwerkersovereenkomst, regio en doorgiftegrond vóór publicatie.
Laatst bijgewerkt: 24 oktober 2026. Deze lijst is Bijlage 3 van de Verwerkersovereenkomst. Wij informeren Klanten minimaal 30 dagen voordat wij een sub-verwerker toevoegen of vervangen (e-mail aan accounteigenaren + wijzigingslog op deze pagina). Klanten kunnen binnen die termijn bezwaar maken (verwerkersovereenkomst art. 7).
Status: Live = verwerkt nu persoonsgegevens van Klanten. Gepland = voorgenomen, nog niet live; wordt pas na aankondiging geactiveerd.
A. Sub-verwerkers voor Klantdata (TimeTracking = verwerker)
| Aanbieder (entiteit) | Doel | Gegevens | Locatie verwerking | Doorgiftegrond | Status |
|---|---|---|---|---|---|
| Supabase Inc. (VS), op Amazon Web Services | Database, authenticatie, bestandsopslag (bonnen, mailbijlagen), back-ups | Alle Klantdata | EU — Ierland (AWS eu-west-1) | Data blijft in de EU; Supabase Inc. is een VS-entiteit: SCC's (module 3) + DPF indien gecertificeerd [verifiëren] | Live |
| Vercel Inc. (VS) | Hosting webapp, serverless/edge-functies, CDN | Data in requests; requestlogs (IP, URL) | Functies: EU-regio (fra1/dub1) waar mogelijk. CDN: wereldwijd | DPF + SCC's | Live |
| Anthropic (via Amazon Web Services EMEA SARL / AWS Bedrock) | AI-extractie van gemailde urenbriefjes, afwijkingsdetectie, categorisering, vertaling, vragen in natuurlijke taal | Inhoud van inkomende mails/bijlagen, uren, opmerkingen, namen | EU — Frankfurt (AWS eu-central-1) | Geen doorgifte buiten de EU beoogd; AWS-DPA + SCC's als terugval. Geen training op Klantdata; geen bewaring door modelaanbieder na verwerking [Bedrock-voorwaarden verifiëren] | Gepland |
| Resend Inc. (VS) | Transactionele e-mail (magic links, accorderingslinks, herinneringen) en routering inkomende mail | Naam, e-mailadres, mailinhoud, links | [EU-regio indien beschikbaar — verifiëren] | DPF + SCC's | Gepland |
| Twilio Inc. (VS) of MessageBird B.V. / Bird (NL) — BESLISSING OPEN | SMS/WhatsApp eenmalige codes en accorderingslinks | Telefoonnummer, berichtinhoud (code/link) | Twilio: VS/EU; Bird: EU | Twilio: DPF + SCC's. Bird: EU, geen doorgifte | Gepland |
| Functional Software Inc. — Sentry (VS) | Foutmonitoring | Technische foutdata, mogelijk user-ID, IP, URL; PII-scrubbing aan | EU (Frankfurt, de.sentry.io) | DPF + SCC's (VS-entiteit) | Gepland |
| Amazon Web Services EMEA SARL | Onderliggende infrastructuur voor Supabase en Bedrock (ter transparantie) | Zie boven | EU | AWS-DPA, SCC's | Live (via Supabase) |
| Apple Inc. / Google LLC | Pushnotificaties (APNs, FCM) voor nudges en klokherinneringen | Toesteltoken, notificatietekst (minimaal: geen uren/namen in payload) | Wereldwijd | DPF + SCC's | Gepland |
B. Verwerkers voor eigen data van TimeTracking (TimeTracking = verwerkingsverantwoordelijke)
Ter transparantie; deze verwerken geen gegevens van medewerkers van Klanten.
| Aanbieder | Doel | Gegevens | Locatie | Doorgiftegrond | Status |
|---|---|---|---|---|---|
| Stripe Payments Europe Ltd. (IE) | Abonnementsfacturatie, betaling, belastingberekening | Factuurcontact, bedrijf, btw, betaalmiddel (bij Stripe) | EU/VS | Stripe-DPA, DPF + SCC's. Stripe is zelfstandig verwerkingsverantwoordelijke voor betaal-/frauddata | Live |
| PostHog Inc. — EU Cloud | Website- en productanalyse (website: alleen na toestemming) | Pseudonieme ID's, paginaweergaven, events; IP ingekort | EU (Frankfurt) | DPF + SCC's (VS-entiteit) | Gepland |
| Anthropic via AWS Bedrock | Mila, de AI-supportassistent | Inhoud supportgesprekken | EU — Frankfurt | Zie boven | Gepland |
| Google LLC (Workspace / Calendar) | Mailbox Mila en afspraken plannen | Naam, e-mail, afspraaktijden | EU/VS | DPF + SCC's | Gepland |
C. Niet gebruikt
Geen advertentienetwerken, geen databrokers, geen screenshot-/toetsaanslagsoftware, geen aparte OCR-leverancier.
Wijzigingslog
| Datum | Wijziging |
|---|---|
| 24 oktober 2026 | Eerste versie |