1. Hoe deze lijst werkt
1.1 Een leverancier is alleen subverwerker voor een klant als die leverancier persoonsgegevens van die klant verwerkt voor een dienst die de klant gebruikt. De kolom Diensten laat zien wanneer dat zo is.
1.2 Wijzigingen meldt Infaris ten minste 30 dagen vooraf, zoals artikel 5 van de DPA bepaalt. De klant kan binnen 14 dagen gemotiveerd bezwaar maken.
2. Infrastructuur
| Leverancier | Diensten | Doel en gegevens | Locatie | Doorgiftebasis |
|---|---|---|---|---|
| OVH SAS | Alle | Servers voor de Infaris-applicaties en hun databases | EER | Niet nodig (EER) |
| DigitalOcean LLC | Guard | Monitoringworker in de VS voor metingen vanaf een Amerikaanse locatie; verwerkt de te meten adressen en meetresultaten | Verenigde Staten | Verwerkersovereenkomst van de leverancier, met standaardcontractbepalingen of het EU-VS Data Privacy Framework |
| Cloudflare Inc. | Alle | DNS, CDN, WAF, DDoS-bescherming, Turnstile, R2-objectopslag voor versleutelde back-ups; IP-adressen en verzoekgegevens | Wereldwijd netwerk | Verwerkersovereenkomst van de leverancier, met standaardcontractbepalingen of het EU-VS Data Privacy Framework |
| Vercel Inc. | Hosting, enkele websites | Edgeplatform voor statische sites; IP-adressen en verzoekgegevens | Wereldwijd, functieregio instelbaar | Verwerkersovereenkomst van de leverancier, met standaardcontractbepalingen of het EU-VS Data Privacy Framework |
| Hetzner Online GmbH | Hosting | Standby-servers en opslag van versleutelde back-ups van gehoste sites | Duitsland en Finland | Niet nodig (EER) |
| BunnyWay d.o.o. (bunny.net) | Hosting | Gezaghebbende DNS en healthchecks voor domeinen van klanten; DNS-records en IP-adressen van resolvers | EU-bedrijf, wereldwijd anycast-netwerk | Verwerkersovereenkomst van de leverancier, met standaardcontractbepalingen waar gegevens buiten de EER komen |
| Hosting Concepts B.V. (Openprovider) | Hosting | Registratie en beheer van domeinnamen; gegevens van de registrant | Nederland | Niet nodig (EER) |
| Daytona Platforms Inc. | Guard, Hosting | Afgeschermde werkomgevingen: het bouwen van de code van klantsites (Hosting) en de werkruimte van PandaBot-agents (Guard) | Volgens de verwerkersovereenkomst | Verwerkersovereenkomst van de leverancier, met standaardcontractbepalingen of het EU-VS Data Privacy Framework |
| Redis Ltd. (Redis Cloud) | Infaris-account, Files | Rate limiting en tijdelijke technische sleutels | Volgens de verwerkersovereenkomst | Verwerkersovereenkomst van de leverancier, met standaardcontractbepalingen of het EU-VS Data Privacy Framework |
| Microsoft Ireland (Azure Blob Storage) | Files | Versleutelde opslag van gedeelde bestanden | EU | Niet nodig als de regio in de EER ligt |
| Neon Inc. | Files | Database met metadata van delingen | Volgens de verwerkersovereenkomst | Verwerkersovereenkomst van de leverancier, met standaardcontractbepalingen of het EU-VS Data Privacy Framework |
| Supabase Inc. | Design | Database en opslag | Volgens de verwerkersovereenkomst | Verwerkersovereenkomst van de leverancier, met standaardcontractbepalingen of het EU-VS Data Privacy Framework |
3. Communicatie
| Leverancier | Diensten | Doel en gegevens | Locatie | Doorgiftebasis |
|---|---|---|---|---|
| Resend Inc. | Alle | Transactionele e-mail, zoals inloglinks, uitnodigingen en meldingen; e-mailadres en berichtinhoud | Volgens de verwerkersovereenkomst | Verwerkersovereenkomst van de leverancier, met standaardcontractbepalingen of het EU-VS Data Privacy Framework |
| Eigen mailserver (mail.ipulse.one) | Alle | Transactionele e-mail en Calendar-webmail | Eigen beheer, EER | Niet van toepassing |
| Slack Technologies | Guard (als de klant Slack koppelt), intern | Meldingen naar een Slack-kanaal van de klant; interne operationele meldingen zonder klantdatasets | Verenigde Staten | Verwerkersovereenkomst van de leverancier, met standaardcontractbepalingen of het EU-VS Data Privacy Framework |
4. Betalingen
| Leverancier | Diensten | Doel en gegevens | Locatie | Doorgiftebasis |
|---|---|---|---|---|
| Stripe Payments Europe Ltd. | Alle betaalde abonnementen | Betalingen, abonnementen en facturen; naam, e-mail, bedrijfsgegevens, betaalgegevens | Ierland, met doorgifte naar Stripe Inc. | Data Privacy Framework en standaardcontractbepalingen in de verwerkersovereenkomst van Stripe |
5. AI-functies
Alleen van toepassing als de klant AI-onderdelen afneemt, zoals PandaBot, oorzaakanalyse, voorspellingen of AI-stappen in automatiseringen. Welk model een vraag beantwoordt, hangt af van de modelkeuze in Guard.
| Leverancier | Diensten | Doel en gegevens | Locatie | Doorgiftebasis |
|---|---|---|---|---|
| Anthropic PBC | Guard | Standaardmodel van PandaBot (Claude); prompts met gegevens uit de Organisatie | Verenigde Staten | Verwerkersovereenkomst met standaardcontractbepalingen; API-invoer wordt niet voor training gebruikt |
| OpenAI | Guard | Modellen via de API en spraak naar tekst en terug voor de spraakfunctie van de chat | Verenigde Staten | Verwerkersovereenkomst met standaardcontractbepalingen; API-invoer wordt niet voor training gebruikt |
| Google LLC (Gemini API) | Guard | Gemini-modellen in de modelkeuze | Verenigde Staten / wereldwijd | Betaalde API onder de verwerkersovereenkomst van Google; invoer wordt niet voor training gebruikt |
| OpenRouter Inc. | Guard, Sync | Doorgeefluik naar modellen van andere aanbieders, waaronder gratis modellen. De assistent van Sync gebruikt standaard een gratis model; agendatitels gaan niet mee | Verenigde Staten | Verwerkersovereenkomst van OpenRouter. Bij gratis modellen kan de onderliggende aanbieder invoer bewaren of gebruiken voor training |
| Vercel Inc. (AI Gateway) | Guard | Doorgeefluik naar modellen als de gatewaysleutel is ingesteld | Verenigde Staten | Verwerkersovereenkomst van de leverancier, met standaardcontractbepalingen of het EU-VS Data Privacy Framework |
Guard en Sync bieden naast betaalde modellen ook gratis modellen aan, onder meer voor gebruik boven het tegoed voor betaalde modellen. Bij die modellen kan de aanbieder de invoer bewaren of gebruiken voor training; artikel 11.4 van de algemene voorwaarden vermeldt dat. Een beheerder van de klant kan gratis modellen voor de eigen organisatie uitzetten in de PandaBot-instellingen.
Heeft de klant een eigen API-sleutel gekoppeld, dan is de aanbieder van die sleutel geen subverwerker van Infaris, maar een leverancier van de klant.
6. Optionele koppelingen
Kiest een gebruiker of klant zelf voor een koppeling, dan is de aanbieder daarvan meestal een zelfstandige verwerkingsverantwoordelijke en geen subverwerker:
- Google en Microsoft als inlogmethode of agendakoppeling (Sync, Calendar);
- Apple iCloud voor agendasynchronisatie in Calendar;
- kanalen en systemen die de klant aan Guard koppelt, zoals Microsoft Teams, ticketsystemen en webhooks.
7. Geen subverwerker
Deze leveranciers ontvangen geen klantgegevens uit de diensten en staan daarom niet in de lijst hierboven: GitHub (broncode), Notion (interne documentatie, zonder klantgegevens uit de diensten), Google Analytics (alleen websitebezoek van infaris.com, met toestemming) en Nextcloud (eigen beheer).