Subverwerkers

Deze pagina is de actuele lijst waarnaar artikel 5.2 van de verwerkersovereenkomst en hoofdstuk 6 van de privacyverklaring verwijzen.

Een subverwerker is een derde partij die wij inschakelen en die daarbij persoonsgegevens verwerkt. Met elk van deze partijen geldt een verwerkersovereenkomst of de gegevensverwerkingsvoorwaarden van die partij, waarin is vastgelegd dat zij de gegevens alleen voor ons en volgens onze instructies mogen verwerken.

Huidige subverwerkers

Toelichting bij Vertex AI: Google gebruikt de via Vertex AI verwerkte gegevens op grond van de Google Cloud-voorwaarden niet voor het trainen of verbeteren van haar eigen modellen. Prompts en uitvoer worden niet langer bewaard dan nodig is voor het uitvoeren van de opdracht. Dit sluit aan bij de garantie in artikel 2.7 van de verwerkersovereenkomst.

Eén AI-verwerking is niet op de EU vastgezet. Om de kennisbank doorzoekbaar te maken zetten wij tekst en afbeeldingen om in zoekvectoren. Het model dat dat doet bestaat bij Google uitsluitend op de locatie global, en niet in een Europese regio; Google kiest daar zelf waar de verwerking plaatsvindt. Wat daar naartoe gaat: de inhoud van de kennisdocumenten van een klant, de bestanden die daarbij horen, en de tekst van de vraag of het bericht waarop gezocht wordt. Wat er niet naartoe gaat: de klantenadministratie, de planning, de facturen en de rest van de database. Alle overige AI-verwerkingen blijven op europe-west4. Wij melden dit expliciet omdat de rest van de verwerking wél op een Europese regio is vastgezet en dit de enige uitzondering is.

Toelichting bij Mollie: Mollie treedt voor een deel van de betaalgegevens op als zelfstandig verwerkingsverantwoordelijke, uit hoofde van haar eigen wettelijke verplichtingen als vergunninghoudende betaaldienstverlener. Voor dat deel geldt het privacybeleid van Mollie.

Toelichting bij Microsoft, Google en Meta: deze drie komen alleen in beeld als een gebruiker of een klant een koppeling zelf aanzet. Het gaat om zijn eigen mailbox, zijn eigen agenda of zijn eigen WhatsApp Business-account, waarvoor hij daarnaast een eigen relatie met die aanbieder heeft. Wat de aanbieder met die gegevens voor zichzelf doet, valt onder diens eigen voorwaarden en niet onder onze instructies.

Toelichting bij Apple: de app verstuurt meldingen rechtstreeks naar de Apple Push Notification service, zonder Firebase Cloud Messaging of een andere tussenpartij. Naar Apple gaan het apparaat-token van het toestel en de tekst van de melding zelf. Zet een gebruiker de meldingen uit, dan wordt het token uit zijn account verwijderd en gaat er niets meer naar Apple.

Klantenservice, ticketafhandeling en applicatiemonitoring voeren wij volledig in eigen beheer uit. Hiervoor worden geen externe subverwerkers ingeschakeld.

Bankgegevens: de Dienst leest op dit moment geen bankmutaties in. Er is geen koppeling met een bank en geen koppeling met een op grond van PSD2 vergunninghoudende dienstverlener; de eerder gebruikte dienstverlener is op 21 augustus 2026 volledig verwijderd. Wat wel blijft: bonnen en facturen die een klant zelf uploadt, en de betaalstatus die van Mollie terugkomt. Komt er later alsnog een bankkoppeling, dan wordt die dienstverlener conform artikel 5.3 van de verwerkersovereenkomst minimaal dertig dagen vooraf gemeld en aan deze lijst toegevoegd.

Ontvangers die geen subverwerker zijn

PDOK is een open dienst van de Nederlandse overheid bovenop de Basisregistratie Adressen en Gebouwen. De dienst verwerkt de adresvraag voor zijn eigen wettelijke taak en niet in onze opdracht, en er is geen verwerkersovereenkomst mee gesloten. Wij merken PDOK daarom aan als ontvanger van een adresvraag en niet als subverwerker.

Website-analyse

Op de website stavor.nl zetten wij Google Analytics 4 in, uitsluitend nadat een bezoeker daarvoor toestemming heeft gegeven. Deze partij verwerkt geen gegevens uit het platform.

Zie hoofdstuk 11 van de privacyverklaring voor hoe wij Google Analytics hebben ingesteld en hoe je je keuze aanpast.

De mobiele app bevat geen analysepakket en geen advertentiesoftware. Er wordt daar dus niets gemeten, ook niet na toestemming. Zie hoofdstuk 8 van de privacyverklaring.

Wijzigingen in deze lijst

Wij informeren onze klanten minimaal dertig (30) dagen vooraf over het toevoegen of vervangen van een subverwerker, via e-mail of een melding in de Dienst. Een klant kan binnen veertien (14) dagen na die melding gemotiveerd en schriftelijk bezwaar maken op gegevensbeschermingsgronden. De volledige regeling staat in artikel 5 van de verwerkersovereenkomst.

Wil je een melding ontvangen bij wijzigingen in deze lijst? Stuur een e-mail naar privacy@stavor.nl met als onderwerp "Meldingen subverwerkers".