Versie 1.3 · Laatste update: 23 juli 2026 · ZeroFlow · info@zeroflow.nl
Transparantie: deze pagina vermeldt de bekende derde partijen in de huidige ZeroFlow-architectuur die persoonsgegevens kunnen verwerken. De lijst moet steeds tegen de live configuratie worden gecontroleerd. Wijzigingen worden volgens de klantovereenkomst vooraf gemeld; de daarin vastgelegde bezwaarprocedure geldt.
| Leverancier | Doel | Locatie | Data | Waarborgen |
|---|---|---|---|---|
| Supabase supabase.com |
Database, authenticatie, RLS-tenant-isolatie | EU — Frankfurt (eu-central-1) | Gepseudonimiseerde transcripten, tickets, gebruikers en masking-/AI-gebruiksrecords | EU-projectregio en RLS; DPA is vastgelegd. Support-, subverwerker- en back-uppaden blijven onderdeel van periodieke controle |
| Railway railway.app |
Backend-hosting (Node.js API, WebSocket) | EU — West | Requestmetadata en technische logs; transcriptinhoud is niet bedoeld voor logging | DPA is vastgelegd; live regio, logs, support- en subverwerkerpaden moeten vóór productie worden bewezen |
| Vercel vercel.com |
Statische frontend-hosting (dashboard, landingpagina) | Global CDN / VS-doorgifte | Frontend-assets en normale toegangsmetadata zoals IP-adres, user-agent, pad en technische logs; geen ticketinhoud via Vercel Functions | Het live Hobby-plan valt volgens Vercel's DPA niet onder de processorrol voor Pro/Enterprise. Vercel is voor service-generated data zelfstandig verwerkingsverantwoordelijke. ZeroFlow beperkt dit pad tot statische assets en vermeldt de rol; geen art. 28-dekking wordt geclaimd |
| Deepgram deepgram.com |
Realtime speech-to-text (Nova-3 NL) | EU API-route geconfigureerd | Ruwe audio; ZeroFlow slaat die zelf niet op. De productieaanvragen gebruiken request-level mip_opt_out=true |
DPA/SCCs zijn vastgelegd; EU-host is live geverifieerd en 25/25 gecontroleerde productieaanvragen bevatten mip_opt_out=true. De projectstandaard zelf blijft uit, daarom blijft request-level controle verplicht |
| Google Gemini ai.google.dev |
ITIL-classificatie en triage van meldingen | Global | Tekst na automatische masking; resterende persoonsgegevens kunnen aanwezig zijn als detectie iets mist | Betaalde-dienststatus is bewezen met een succesvolle paid-only Flex-aanvraag. De toepasselijke Google-DPA is door de betaalde voorwaarden opgenomen; globale verwerking en maximaal 55 dagen projectlogs zijn als restrisico beoordeeld |
| TOPdesk (klantzijde) topdesk.com |
Ticket-synchronisatie naar MSP's eigen TOPdesk-instantie | Afhankelijk van klant (meestal EU) | Ticketdata (via klant-credentials) | Klant is eigen verwerkingsverantwoordelijke voor TOPdesk-instantie |
Deepgram is een Amerikaanse leverancier. ZeroFlow configureert voor productie het EU-endpoint (api.eu.deepgram.com). Deze technische route is een belangrijke waarborg, maar moet in productie en in de contractdocumenten verifieerbaar blijven. Aanvullende waarborgen:
mip_opt_out=true sluit deelname aan het modelverbeteringsprogramma uit.Google Gemini ontvangt best-effort gemaskeerde tekst. Resterende persoonsgegevens kunnen aanwezig zijn als detectie iets mist. Externe OCR is uitgeschakeld. Voor deze AI-sub-verwerker geldt:
gemini-3.5-flash succesvol verwerkt. Dit bewijst actieve betaalde-diensttoegang voor het gekoppelde project.Bij toevoeging of vervanging van een sub-verwerker wordt elke actieve klant ten minste 30 dagen vooraf per e-mail gemeld. Klanten kunnen binnen 30 dagen bezwaar maken. Bij onoplosbaar bezwaar mag de klant de overeenkomst kosteloos opzeggen.
Voor TIA-documenten, DPA-inzage of andere juridische vragen: info@zeroflow.nl.