Sub-verwerkers

Versie 1.1 · Laatste update: mei 2026 · ZeroFlow · info@zeroflow.nl

Transparantie: deze pagina vermeldt alle derde partijen die namens ZeroFlow persoonsgegevens kunnen verwerken. Wijzigingen worden 30 dagen vooraf aan bestaande klanten gemeld via e-mail; klanten kunnen bezwaar maken.

Huidige sub-verwerkers

Leverancier	Doel	Locatie	Data	Waarborgen
Supabase supabase.com	Database, authenticatie, RLS-tenant-isolatie	EU — Frankfurt (eu-central-1)	Gemaskeerde transcripten, tickets, gebruikers, verwerkingsregisters	DPA, EU-only hosting, RLS
Railway railway.app	Backend-hosting (Node.js API, WebSocket)	EU — West	Request-metadata, logs (geen PII)	DPA, EU-only deployment
Vercel vercel.com	Frontend-hosting (dashboard, landingpagina)	EU — Frankfurt / Dublin	Static assets, geen PII in-transit	EU-region enforcement; DPA wordt afgerond vóór eerste betalende klant (hosting-only, geen serverzijdige verwerking van klantdata)
Brevo brevo.com (Sendinblue SAS)	Transactionele e-mail voor vroege-toegang-aanmeldingen (wachtlijst)	Frans moederbedrijf, grensoverschrijdende doorgifte (o.a. VS)	Naam, e-mailadres, bedrijfsnaam van wachtlijst-aanmeldingen (geen tenant- of ticketdata)	Doorgifte onder EU-VS Data Privacy Framework; DPA/subprocessor-afspraken worden afgerond vóór eerste betalende klant
Web3Forms web3forms.com	Formulierverwerking en meldingen voor vroege-toegang-aanmeldingen	Global	Naam, e-mailadres, bedrijfsnaam, rol van wachtlijst-aanmeldingen (geen tenant- of ticketdata)	DPA/subprocessor-afspraken worden afgerond vóór eerste betalende klant
Deepgram deepgram.com	Realtime speech-to-text (Nova-3 NL)	EU — api.eu.deepgram.com	Ruwe audio (niet opgeslagen), ephemeraal	EU-endpoint (data blijft in EU), getekende DPA met SCCs, `mip_opt_out=true` (geen modeltraining)
Google Gemini ai.google.dev	ITIL-classificatie en triage van meldingen	Global	Uitsluitend gemaskeerde transcripten en e-mailtekst	DPA van toepassing (automatisch geïncorporeerd via Gemini API Paid Services-voorwaarden, actieve billing account); PII wordt vooraf server-side gemaskeerd
OpenAI openai.com	Fallback-classificatie, samenvatting, vervolgvragen en OCR	VS — global	Uitsluitend gemaskeerde transcripten (persoonsgegevens al vervangen)	Getekend DPA via OpenAI Ireland Ltd (EU-entiteit) met SCCs voor VS-doorgifte, geen modeltraining op API-data (standaard), TIA gedocumenteerd
Sentry sentry.io	Foutmonitoring en incidentdiagnose	Global	Technische foutcontext, request-metadata en stack traces; geen transcriptinhoud bedoeld	Getekend DPA, logging is ingericht om PII te vermijden
TOPdesk (klantzijde) topdesk.com	Ticket-synchronisatie naar MSP's eigen TOPdesk-instantie	Afhankelijk van klant (meestal EU)	Ticketdata (via klant-credentials)	Klant is eigen verwerkingsverantwoordelijke voor TOPdesk-instantie

Waarborgen bij sub-verwerkers

Deepgram is een Amerikaanse leverancier, maar ZeroFlow gebruikt uitsluitend het EU-endpoint (api.eu.deepgram.com). Audio verlaat hierdoor de EU niet. Aanvullende waarborgen:

EU data residency — alle audio-streams worden verwerkt in Deepgram's EU-infrastructuur.
Getekende Data Processing Agreement (DPA) met EU Standaard Contractuele Bepalingen (SCCs, 2021/914/EU) en UK Addendum.
Ephemerale verwerking — Deepgram slaat geen audio op. mip_opt_out=true voorkomt gebruik voor modeltraining.

Google Gemini en OpenAI verwerken alleen gemaskeerde tekst. Voor deze AI-sub-verwerkers gelden:

OpenAI: getekend DPA met OpenAI Ireland Ltd (EU-entiteit als verwerkingsverantwoordelijke contractpartij) inclusief EU SCCs (2021/914/EU) voor doorgifte naar OpenAI LLC (VS) voor technische verwerking.
Google Gemini: DPA van toepassing via automatische incorporatie in de Gemini API Paid Services-voorwaarden (actieve Cloud Billing account, Tier 1-quota) — geen apart ondertekeningsmoment vereist voor dit product.
Geen modeltraining op OpenAI API-data (standaardbeleid sinds maart 2023); ZeroFlow gebruikt providerinstellingen en contracten om modeltraining op klantdata uit te sluiten waar beschikbaar.
Transfer Impact Assessment (TIA) voor OpenAI is gedocumenteerd conform EDPB Recommendations 01/2020; Gemini TIA wordt toegevoegd vóór betalende klantverwerking.
Technische waarborg: persoonsgegevens worden vóór elk AI-verzoek gemaskeerd door ZeroFlow's PII-masker — AI-providers zien geen rauwe persoonsgegevens.
Alternatief pad voor gereguleerde sectoren (zorg/overheid/juridisch): migratie naar een EU-gehoste AI-provider of Azure OpenAI Service (EU-West) met passende enterprise-afspraken.

Meldprocedure bij wijziging

Bij toevoeging of vervanging van een sub-verwerker wordt elke actieve klant ten minste 30 dagen vooraf per e-mail gemeld. Klanten kunnen binnen 30 dagen bezwaar maken. Bij onoplosbaar bezwaar mag de klant de overeenkomst kosteloos opzeggen.

Vragen?

Voor TIA-documenten, DPA-inzage of andere juridische vragen: info@zeroflow.nl.