1Doel en gebruik
Dit overzicht ondersteunt de DPA en Privacyverklaring. “In code aanwezig” betekent niet “actief in productie”. Operations, finance en privacy moeten per regel status, contracterende entiteit, productieregio, DPA, transfermechanisme, bewaartermijn en verwijdering bevestigen. Publiceer daarna uitsluitend actieve leveranciers.
2Kandidaat-subverwerkers / verwerkers
| Leverancier / dienst | Mogelijke verwerking | Verwachte locatie / doorgifte | Status en go-livebewijs |
|---|---|---|---|
| Amazon Web Services EMEA SARL - Cognito | werkgeversauthenticatie, account-id, login/security | configuratie wijst op eu-central-1 (Duitsland); support/global access beoordelen | code actief; productiepool, DPA en regio bevestigen |
| Amazon Web Services EMEA SARL - S3/SES | objectopslag van assets/raw archives en transactionele e-mail | standaardconfiguratie EU/Duitsland; kan endpoint-afhankelijk zijn | productiegebruik, buckets, lifecycle, SES-regio en SCC/DPF bevestigen |
| Hetzner Online GmbH / gekozen datacenter | compute, database, Redis/MinIO/objectopslag bij self-hosting | Duitsland/EER afhankelijk van server | Dokploy/Hetzner opsdocs aanwezig; contract, locaties en back-ups bevestigen |
| Functional Software, Inc. (Sentry) | fout-, performance- en beveiligingstelemetrie | EU/VS afhankelijk van accountconfiguratie | DSN/config aanwezig; PII-scrub, regio, DPA en SCC/DPF bevestigen |
| OpenRouter, Inc. | begrensde AI-prompts/responses, modelrouting, usage | VS en onderliggende modelregio’s | code/config aanwezig; no-training/retentie/DPA/SCC bevestigen |
| OpenAI, L.L.C. / Google-modeldienst via OpenRouter | job parsing, copy, WhatsApp-samenvatting of beelden afhankelijk van gekozen model | mogelijk VS/global | exacte modellen/routes, contract, trainingopt-out, retentie en transfers bevestigen |
| Inception Labs of andere door OpenRouter geroute modelprovider | WhatsApp-assistent; onderzochte configuratie noemt inception/mercury-2 | mogelijk VS/global | exacte juridische entiteit, modelroute, DPA, no-training, retentie, SCC/DPF en subverwerkers vóór gebruik bevestigen |
| WhatsApp Ireland Limited - WhatsApp Business Platform/Cloud API | telefoon, berichten, media, delivery/status | EER en WhatsApp/Meta-infrastructuur wereldwijd | direct Graph API-gebruik bevestigd; contracterende entiteit van productie-WABA, rol, DPA en transferterms bevestigen. Meta Platforms Ireland Limited alleen afzonderlijk noemen als contract/dataflow dat ondersteunt |
PostgreSQL, Redis en MinIO zijn in de repo ook als zelf-gehoste software aanwezig en zijn dan geen afzonderlijke juridische subverwerker; de hostingpartij en eventuele managed operator zijn dat mogelijk wel.
3Externe ontvangers / zelfstandige verantwoordelijkheden
Deze partijen zijn niet voor iedere verwerking subverwerker. Zij kunnen zelfstandig verwerkingsverantwoordelijke zijn of een productspecifieke rol hebben:
| Partij | Doel | Data | Voorwaarde |
|---|---|---|---|
| werkgever bij wie kandidaat solliciteert | selectie en arbeidsproces | sollicitatie, CV, antwoorden, communicatie | naam werkgever + eigen privacyinformatie vóór verstrekking |
| Meta, Google, LinkedIn, TikTok | advertentieplaatsing, native leadforms, meting/conversie | vacature/campagne, account-id, lead/attributie; kandidaat-id alleen met geldige gate | productspecifieke terms, rollen, consent en non-discriminatie |
| Stripe Payments Europe Ltd. | kaart/SEPA/checkout, fraudepreventie, refunds | klant, bedrag, factuur-/paymentref; provider verwerkt kaart | privacy-/paymentterms en rol bevestigen |
| Mollie B.V. | iDEAL/betaling/refund | klant, bedrag, betaalref | privacy-/paymentterms en rol bevestigen |
| ABN AMRO of bank | bankbetaling / handmatige refund | rekening, betaler, bedrag/ref | exacte product-/bankrol bevestigen |
| Salesforce (optionele CRM-sync) | sales/customer relationship | zakelijke contact-/organisatiegegevens | alleen opnemen indien productieconfig volledig actief is |
| Linear (optionele bug-/statussync) | bugs en interne workflow | ticket, mogelijk reportercontact | screenshot/PII-minimalisatie; alleen opnemen indien actief |
4Tracking-/marketingontvangers
Google Tag Manager en TikTok Pixel zijn direct in de onderzochte globale layout opgenomen wanneer environment-id’s aanwezig zijn. Via GTM kunnen ook Google Analytics/Ads, Meta of LinkedIn tags actief worden. Zij mogen pas na de juiste consentcategorie laden en moeten in de definitieve cookie-inventaris worden genoemd. Een pixel of server-side API is geen subverwerker enkel omdat Personeel.com hem technisch aanroept; de productspecifieke controller-/processorvoorwaarden bepalen de rol.
5Doorgiftemechanismen
Volgorde per concrete verwerking:
- verwerking in EER zonder derde-landtoegang;
- toepasselijk adequaatheidsbesluit;
- voor de VS: EU-US DPF alleen als de contracterende ontvanger actueel gecertificeerd en de verwerking gedekt is;
- anders juiste SCC-module 2021/914, transfer impact assessment en aanvullende maatregelen;
- afwijking van artikel 49 alleen uitzonderlijk, niet voor structurele platformverwerking.
Wij registreren ontvanger, entiteit, land, data/doel, rol, grondslag, instrument, TIA-datum, aanvullende maatregel en herbeoordeling. SCC’s gaan boven strijdige commerciële tekst.
6Wijzigingen en bezwaar
Zakelijke klanten ontvangen ten minste dertig dagen vooraf notice van een nieuwe of materieel gewijzigde subverwerker. Een gemotiveerd privacybezwaar volgt de DPA. Spoedvervanging voor security/continuïteit wordt zo snel mogelijk gemeld. Houd een publieke changelog en e-mail-/accountabonnement voor notices bij.
Contact: info@personeel.com, onderwerp “SUBPROCESSORS”.
Vragen over dit document? Mail info@personeel.com of bel 085 107 0183.
Personeel.com B.V. · KvK 90258614