Wat is een subverwerker?
Een subverwerker is een externe partij die persoonsgegevens verwerkt namens Notore om onze Dienst te kunnen leveren. Per AVG artikel 28 moet je als verwerkingsverantwoordelijke weten welke partijen wij inzetten — en wij moeten daar voor jouw inzet expliciete contractuele afspraken (DPA's) mee hebben.
Huidige subverwerkers
Anthropic, PBC
| Rol | AI-provider (Sonnet 4.5, Haiku 4.5) |
|---|---|
| Doel van verwerking | Genereren van verslagstructuur op basis van ingevoerde aantekeningen (na onze PII-controle) |
| Verwerkingslocatie | Verenigde Staten (API). Doorgifte onder de doorgiftemechanismen in Anthropic's verwerkersvoorwaarden. EU-verwerking van deze stap staat op onze roadmap. |
| DPA-status | Verwerkersvoorwaarden (DPA) onderdeel van de commerciële voorwaarden van Anthropic |
| Training op klantdata? | Anthropic traint niet op klantdata (contractueel vastgelegd in hun voorwaarden) |
| Privacybeleid | https://www.anthropic.com/legal/privacy |
Supabase Inc.
| Rol | Database, authentication, storage |
|---|---|
| Doel van verwerking | Hosting van alle Notore-data (tenants, gebruikers, verslagen, audit-log) |
| Verwerkingslocatie | EU — eu-central-1 (Frankfurt) |
| DPA-status | Standaard-verwerkersovereenkomst van Supabase van toepassing |
| Training op klantdata? | n.v.t. — geen AI-verwerking |
| Privacybeleid | https://supabase.com/privacy |
Vercel Inc.
| Rol | Application hosting |
|---|---|
| Doel van verwerking | Serveren van de Notore-webapplicatie |
| Verwerkingslocatie | VS-bedrijf met wereldwijd netwerk; applicatiedata wordt opgeslagen bij Supabase (EU) |
| DPA-status | Standaard-verwerkersovereenkomst van Vercel van toepassing |
| Training op klantdata? | n.v.t. |
| Privacybeleid | https://vercel.com/legal/privacy-policy |
Resend Inc.
| Rol | Transactionele e-mail |
|---|---|
| Doel van verwerking | Verzending van uitnodigings- en notificatie-mails |
| Verwerkingslocatie | VS-bedrijf; verwerkt alleen e-mailadres en mailinhoud van uitnodigingen |
| DPA-status | Standaard-verwerkersovereenkomst van Resend van toepassing |
| Training op klantdata? | n.v.t. |
| Privacybeleid | https://resend.com/legal/privacy-policy |
Doorgifte buiten de EER — eerlijk verhaal
De opslag van al je data staat in de EU (Frankfurt). De AI-verwerkingsstap loopt op dit moment via de Amerikaanse API van Anthropic, onder de doorgiftemechanismen uit hun verwerkersvoorwaarden en zonder dat Anthropic op jouw data traint. Wij werken aan EU-verwerking van deze stap (bijv. via een EU-regio van een cloudaanbieder) en adviseren tot die tijd om — zoals de app ook afdwingt met de PII-controle — uitsluitend geanonimiseerde aantekeningen in te voeren.
Wijzigingen aan de subverwerkers-lijst
Wanneer we een nieuwe subverwerker toevoegen of een bestaande vervangen, kondigen wij dit minimaal 30 dagen van tevoren aan per e-mail aan alle tenant-admins. Heb je bezwaar tegen een specifieke subverwerker, dan kun je binnen 30 dagen na aankondiging opzeggen tegen einde van de lopende maand.
Voor noodvervangingen (bv. een leverancier die plotseling stopt) geldt een uitzondering: dan melden wij zo snel als mogelijk en zorgen voor minimaal gelijkwaardig beschermingsniveau bij de nieuwe partij.
Wat we NIET gebruiken
Voor je gemoedsrust — Notore gebruikt expliciet niet:
- Google Analytics, Hotjar, Mixpanel — geen tracking
- Facebook Pixel, LinkedIn Insight — geen ad-tech
- OpenAI, Google Gemini, Mistral — wij gebruiken alleen Anthropic voor AI
- Amazon AWS rauw S3 — alle storage gaat via Supabase EU
- Marketing-mail-providers buiten EU — geen Mailchimp, geen ConvertKit
- US-cloud-storage — geen Dropbox, geen Google Drive in onze pipeline
Vragen?
Wil je een ondertekend exemplaar van een specifieke DPA inzien? Vragen over een subverwerker? Stuur een mail naar hallo@notore.nl.
Voor juridische of compliance-vragen, of als je een ondertekend exemplaar van dit document nodig hebt: stuur een mail. We reageren binnen 2 werkdagen.
hallo@notore.nl →