GDPR · Verwerkingsregister
Voor het verwerken van persoonsgegevens schakelen we de onderstaande subverwerkers in. Komt er een partij bij of wordt er een vervangen, dan berichten we de beheerders van je omgeving ten minste dertig dagen vooraf. Moeten we een partij vervangen omdat zij wegvalt of om een beveiligingsprobleem te verhelpen dat geen uitstel duldt, dan berichten we onverwijld en uiterlijk binnen vijf werkdagen erna, met de reden. In beide gevallen kan je bezwaar maken en de betrokken dienst of het abonnement kosteloos opzeggen — de verwerkersovereenkomst regelt dat in artikel 9.
Laatst bijgewerkt: augustus 2026 — in overeenstemming met bijlage B.1 van verwerkersovereenkomst v1.0
| Subverwerker | Doel | Locatie verwerking | Waarborgen |
|---|---|---|---|
| Supabase Pte. Ltd. (Singapore) | Database (PostgreSQL), authenticatie, opslag van geüploade documenten (medische attesten) | EU — Ierland (AWS-regio eu-west-1) | EU Standard Contractual Clauses; versleuteling in rust toegezegd in hun verwerkersovereenkomst, TLS in transit, SOC 2 Type II — volgens opgave van de leverancier |
| Microsoft Ireland Operations Ltd. (Microsoft Azure) | Hosting van de webapplicatie (App Service) en versturen van transactionele e-mails (login, notificaties, correctie-flow) via Azure Communication Services | EU — Azure-regio West Europe (Nederland) | EU Data Boundary, SCC's, encryptie at rest, TLS in transit, ISO 27001/27017/27018, SOC 1/2/3, EU Cloud Code of Conduct |
| Functional Software, Inc. (Sentry) | Foutopsporing en crashrapportering van de webapp en de mobiele apps (iOS & Android), zodat we storingen snel kunnen detecteren en oplossen | EU-dataregio, ingesteld op accountniveau | Verwerkersovereenkomst versie 5.1.0, aangegaan 18 augustus 2026; EU-US Data Privacy Framework en SCC's; TLS in transit. Uit de webtoepassing gaat geen gebruikersidentificatie mee. Uit onze iOS-apps gaat wél het gebruikersnummer van de aangemelde gebruiker mee: dat bevat geen naam en geen e-mailadres, maar wijst steeds dezelfde persoon aan en is bij ons aan hem te koppelen. Geen session replay, geen schermafbeeldingen. Of het ruwe IP-adres via de standaard verzoek-headers wordt bewaard, hebben wij niet vastgesteld |
| Mollie B.V. (betaalpartner) | Verwerking van abonnementsbetalingen (SEPA-domiciliëring) en het aanmaken en verzenden van facturen voor het Standard-abonnement. Verwerkt naam, e-mail, IBAN en factuurgegevens van de Klant-onderneming — géén werknemersgegevens | EU — Nederland | Vergunde betaalinstelling onder DNB-toezicht (PSD2), verwerking binnen de EU, TLS-encryptie |
| Cloudflare, Inc. (DNS, CDN & Turnstile) | DNS voor onze domeinen, contentlevering (CDN) voor mijnuren.be, en botbescherming (Turnstile) op het registratieformulier van app.mijnuren.be. Verwerkt daarbij het IP-adres en technische verzoekgegevens van de bezoeker — géén werknemers- of inhoudsgegevens. De klantomgeving zelf wordt rechtstreeks door Azure bediend en loopt niet over dit netwerk | Wereldwijd edge-netwerk; moederbedrijf in de VS | EU-US Data Privacy Framework + SCC's, TLS-encryptie, ISO 27001. Verwerkt enkel technische metadata (IP-adres, request-headers) |
| Microsoft Ireland Operations Limited (tekstherkenning op bonnetjes) | Azure AI Document Intelligence. Ontvangt de volledige afbeelding van een onkostenbon om bedrag, datum, btw en handelaar voor te stellen. Alleen bij gebruik van de module Onkosten. Microsoft bewaart invoer en resultaat maximaal 24 uur; wij vragen na elke analyse zelf de verwijdering aan, waardoor die bewaartijd bij normale werking seconden is | EU — Azure-regio West Europe (Nederland) | Microsoft Products and Services Data Protection Addendum, onderdeel van ons Microsoft Customer Agreement; EU Data Boundary. Of invoer van dit model voor algemene modelverbetering wordt gebruikt, doet Microsoft voor deze dienst geen uitspraak over en hebben wij niet vastgesteld |
| BRBX BV h.o.d.n. Recommand (Peppol-toegangspunt) | Verzendt elektronische facturen van zelfstandigen via het Peppol-netwerk. Alleen bij de module Onderaanneming en alleen wanneer een zelfstandige daadwerkelijk een e-factuur verstuurt. Ontvangt daarbij naam, adres, ondernemings- en btw-nummer en de factuurregels | EER — volgens opgave van de leverancier; de plaats van verwerking hebben wij niet zelf vastgesteld | Hun gepubliceerde verwerkersovereenkomst geldt voor elke gebruiker van de dienst, naar Belgisch recht; voor beperkte doorgifte gelden EU Standard Contractual Clauses |
Vereist jullie IT-beleid een single-vendor of Azure-only opzet? Laat het ons weten. Dat is vandaag geen standaardoptie: we bekijken per dossier wat haalbaar is en wat het kost, en zeggen het eerlijk als het niet past.
Vraag een Azure-offerte aan →Opslag en primaire verwerking van je persoonsgegevens gebeuren binnen de Europese Economische Ruimte. Sommige subverwerkers hebben een moederbedrijf of ondersteunende vestigingen buiten de EER en kunnen daardoor voor ondersteuning of onderhoud toegang hebben vanuit een derde land; wij kunnen dat niet uitsluiten. Waar dat gebeurt, geldt het als een doorgifte en gelden de waarborgen van hoofdstuk V AVG — een adequaatheidsbesluit, het EU-US Data Privacy Framework of EU Standard Contractual Clauses. Eén verwerking loopt bewust over een wereldwijd netwerk: de botbescherming op ons registratieformulier, die daarbij je IP-adres en technische verzoekgegevens verwerkt. Je omgeving zelf wordt rechtstreeks door Azure bediend en loopt daar niet over.
De volledige DPA (Data Processing Agreement) sluiten we standaard af bij elke nieuwe klant. Vraag het document op als je het vooraf wil inkijken.
Komt er een nieuwe subverwerker bij of wordt er een vervangen, dan brengen we klant-admins minstens 30 dagen vooraf op de hoogte via e-mail. Ben je het niet eens met een nieuwe subverwerker, dan kan je de betrokken dienst of het abonnement kosteloos opzeggen tegen de datum waarop de wijziging ingaat.
Werknemers kunnen op elk moment hun gegevens opvragen of laten verwijderen. HR-admins beheren dit via de instellingen; we begeleiden je bij vragen.