Sub-verwerkers

Versie 1.0 · Laatste update: april 2026 · ZeroFlow · info@zeroflow.nl

Transparantie: deze pagina vermeldt alle derde partijen die namens ZeroFlow persoonsgegevens kunnen verwerken. Wijzigingen worden 30 dagen vooraf aan bestaande klanten gemeld via e-mail; klanten kunnen bezwaar maken.

Huidige sub-verwerkers

Leverancier	Doel	Locatie	Data	Waarborgen
Supabase supabase.com	Database, authenticatie, RLS-tenant-isolatie	EU — Frankfurt (eu-central-1)	Gemaskeerde transcripten, tickets, gebruikers, verwerkingsregisters	DPA, EU-only hosting, RLS
Railway railway.app	Backend-hosting (Node.js API, WebSocket)	EU — West	Request-metadata, logs (geen PII)	DPA, EU-only deployment
Vercel vercel.com	Frontend-hosting (dashboard, landingpagina)	EU — Frankfurt / Dublin	Static assets, geen PII in-transit	DPA, EU-region enforcement
Deepgram deepgram.com	Realtime speech-to-text (Nova-3 NL)	EU — api.eu.deepgram.com	Ruwe audio (niet opgeslagen), ephemeraal	EU-endpoint (data blijft in EU), DPA met SCCs aangevraagd, `mip_opt_out=true` (geen modeltraining)
OpenAI openai.com	ITIL-classificatie, samenvatting, vervolgvragen	VS — global	Uitsluitend gemaskeerde transcripten (persoonsgegevens al vervangen)	Getekend DPA via OpenAI Ireland Ltd (EU-entiteit) met SCCs voor VS-doorgifte, geen modeltraining op API-data (standaard), TIA gedocumenteerd
TOPdesk (klantzijde) topdesk.com	Ticket-synchronisatie naar MSP's eigen TOPdesk-instantie	Afhankelijk van klant (meestal EU)	Ticketdata (via klant-credentials)	Klant is eigen verwerkingsverantwoordelijke voor TOPdesk-instantie

Waarborgen bij sub-verwerkers

Deepgram is een Amerikaanse leverancier, maar ZeroFlow gebruikt uitsluitend het EU-endpoint (api.eu.deepgram.com). Audio verlaat hierdoor de EU niet. Aanvullende waarborgen:

EU data residency — alle audio-streams worden verwerkt in Deepgram's EU-infrastructuur.
Data Processing Agreement (DPA) met EU Standaard Contractuele Bepalingen (SCCs, 2021/914/EU) aangevraagd; wordt afgerond vóór eerste betalende klant.
Ephemerale verwerking — Deepgram slaat geen audio op. mip_opt_out=true voorkomt gebruik voor modeltraining.

OpenAI biedt geen EU-endpoint voor de gebruikte modellen. Voor deze sub-verwerker gelden:

Getekend DPA met OpenAI Ireland Ltd (EU-entiteit als verwerkingsverantwoordelijke contractpartij) inclusief EU SCCs (2021/914/EU) voor doorgifte naar OpenAI LLC (VS) voor technische verwerking.
Geen modeltraining op API-data (standaardbeleid sinds maart 2023).
Transfer Impact Assessment (TIA) gedocumenteerd conform EDPB Recommendations 01/2020.
Technische waarborg: persoonsgegevens worden vóór elk OpenAI-verzoek gemaskeerd door ZeroFlow's PII-masker — OpenAI ziet nooit rauwe persoonsgegevens.
Alternatief pad voor gereguleerde sectoren (zorg/overheid/juridisch): migratie naar Azure OpenAI Service (EU-West) met ZDR via Microsoft Enterprise Agreement.

Meldprocedure bij wijziging

Bij toevoeging of vervanging van een sub-verwerker wordt elke actieve klant ten minste 30 dagen vooraf per e-mail gemeld. Klanten kunnen binnen 30 dagen bezwaar maken. Bij onoplosbaar bezwaar mag de klant de overeenkomst kosteloos opzeggen.

Vragen?

Voor TIA-documenten, DPA-inzage of andere juridische vragen: info@zeroflow.nl.