Subverwerkers en dienstverleners

Deze pagina hoort bij ons Privacy-en Cookiebeleid en bij de verwerkersovereenkomst die wij met zakelijke opdrachtgevers sluiten. Zij vermeldt welke partijen wij inschakelen, welke rol zij vervullen, waar zij verwerken en op welke grondslag gegevens buiten de Europese Economische Ruimte worden doorgegeven.

Wij publiceren dit overzicht uit eigen beweging, en niet alleen op verzoek, zodat u kunt zien met wie uw gegevens worden gedeeld voordat u ons iets toevertrouwt.

1. Twee soorten partijen

Het maakt uit in welke hoedanigheid wij uw gegevens verwerken. Dat bepaalt bij wie u met een vraag moet zijn.

Onze eigen dienstverleners. Voor de gegevens die wij voor onszelf verwerken, zoals websitebezoek, contactverzoeken, bestellingen in onze webshop, klantadministratie en facturatie, zijn wij verwerkingsverantwoordelijke. De partijen in tabel A verwerken die gegevens namens ons.

Subverwerkers. Bouwen of beheren wij een dashboard, datasysteem of applicatie voor een zakelijke opdrachtgever, dan is die opdrachtgever verwerkingsverantwoordelijke en zijn wij verwerker. De partijen die wij daarbij inschakelen zijn subverwerkers in de zin van artikel 28 lid 4 van de Algemene verordening gegevensbescherming. Zij staan in tabel B.

Staan uw gegevens in een systeem dat wij voor een organisatie beheren, richt u dan tot die organisatie. Wij verwijzen u desgevraagd door.

2. Tabel A — Dienstverleners voor onze eigen verwerkingen

Dienstverlener	Rol	Verwerkingslocatie	Grondslag bij doorgifte buiten de EER
Shopify International Ltd.	Webshop-, hosting- en bestelplatform	Europese Economische Ruimte en Verenigde Staten	Standaardcontractbepalingen
Betaaldienstverlener via Shopify Payments en de door u gekozen betaalmethode	Afhandeling van betalingen en terugboekingen	Europese Economische Ruimte	Niet van toepassing
Google Ireland Ltd.	Websitestatistieken via Google Analytics 4, uitsluitend na uw toestemming	Europese Economische Ruimte en Verenigde Staten	Standaardcontractbepalingen
Hostinger	Verzenden en ontvangen van berichten	Europese Economische Ruimte	Niet van toepassing
Getgekko	Facturatie en administratie	Europese Economische Ruimte	Niet van toepassing
Microsoft Ireland Operations Ltd.	Bestandsopslag en samenwerking via OneDrive, waaronder offertes, opdrachtbevestigingen en klantcorrespondentie	Europese Economische Ruimte	Verwerking vindt plaats binnen de EU Data Boundary. Voor de beperkt resterende doorgifte gelden de standaardcontractbepalingen uit de Microsoft Products and Services Data Protection Addendum

Daarnaast verstrekken wij gegevens aan onze accountant en, indien de wet dat vereist, aan de Belastingdienst of aan een andere bevoegde autoriteit. Die partijen handelen niet namens ons en zijn geen verwerker.

3. Tabel B — Subverwerkers bij applicaties die wij voor opdrachtgevers bouwen en beheren

Subverwerker	Rol	Verwerkingslocatie	Grondslag bij doorgifte buiten de EER
Hetzner Online GmbH	Draaien en uitrollen van de applicatie en het bewaren van reservekopieën: virtuele servers, opslag, netwerk en back-up. Hier staan de gegevens van de applicatie	Europese Economische Ruimte	Niet van toepassing
Anthropic PBC (Claude)	Levert via een programmeerkoppeling het taalmodel voor de AI-functies in de applicatie. Afhankelijk van wat per opdracht wordt afgesproken, wordt het model rechtstreeks bij Anthropic afgenomen of binnen de EER via een cloudplatform	Europese Economische Ruimte of Verenigde Staten, per opdracht vastgelegd in Bijlage A bij de verwerkersovereenkomst	Bij verwerking buiten de EER de grondslag die in Bijlage A bij die opdracht is vermeld
Brevo	Verzenden van meldingen uit de applicatie	Europese Economische Ruimte	Niet van toepassing

Welke partijen uit deze tabel voor een concrete opdracht daadwerkelijk worden ingeschakeld, staat in Bijlage A bij de verwerkersovereenkomst die met die opdrachtgever is gesloten. Een subverwerker die daar niet in staat, wordt voor die opdracht niet ingeschakeld.

4. Doorgifte buiten de Europese Economische Ruimte

De applicaties die wij bouwen en beheren draaien op infrastructuur binnen de Europese Economische Ruimte, en de gegevens die in die applicaties staan blijven daar.

Verwerkt een dienstverlener toch buiten de EER, dan gebeurt dat op basis van een adequaatheidsbesluit van de Europese Commissie of, bij gebreke daarvan, op basis van de standaardcontractbepalingen, in beide gevallen aangevuld met maatregelen zoals versleuteling. Welke grondslag per partij geldt, staat in de laatste kolom van de tabellen hierboven.

5. Aanbieders van AI-modellen

Voor een AI-bewerking gaat uitsluitend datgene wat voor die ene bewerking nodig is naar de omgeving van de aanbieder. De applicatie zelf en de gegevens die daarin staan verhuizen niet mee.

Wij schakelen uitsluitend aanbieders in die zich er contractueel toe verbinden de gegevens niet te gebruiken voor het trainen, afstemmen of verbeteren van hun modellen.

Aanbieders bewaren de invoer en de uitvoer daarnaast gedurende korte tijd om misbruik van hun dienst tegen te gaan. Bij Anthropic bedraagt die termijn op dit moment ten hoogste dertig dagen, tenzij met ons een regeling zonder bewaring is overeengekomen. Wijzigt een aanbieder die termijn, dan passen wij deze pagina aan.

6. Wijzigingen en hoe u bericht krijgt

Wij melden een nieuwe of vervangende subverwerker ten minste dertig dagen vooraf, met vermelding van de naam, de rol, de verwerkingslocatie en, bij verwerking buiten de EER, de grondslag voor doorgifte.

Die melding vindt op twee manieren plaats:

door publicatie op deze pagina, met vermelding van de datum waarop de wijziging ingaat;
door een bericht aan het e-mailadres dat de opdrachtgever daarvoor heeft opgegeven.

Bent u zakelijke opdrachtgever en wilt u die berichten ontvangen, geef dan het gewenste e-mailadres door via info@bnkkam.com.

Een opdrachtgever kan binnen die dertig dagen op redelijke gronden bezwaar maken tegen een nieuwe subverwerker. Wat er dan geldt, staat in artikel 4.3 van de verwerkersovereenkomst.