Verwerkersovereenkomst

Versie: dpa-2026-10. Deze verwerkersovereenkomst is opgesteld in het Nederlands en het Engels. De Nederlandse versie is leidend. Wijken de versies van elkaar af, dan geldt de Nederlandse tekst.

Partijen

Verwerkingsverantwoordelijke: de klant die een werkruimte heeft in QR Code Manager, zoals genoemd in het Orderformulier of, voor selfserviceklanten, aangeduid door de werkruimte die bij aanmelding is aangemaakt ("Klant").

Verwerker: bouwman.io, handelend onder de naam QR Code Manager by bouwman.io, Cornelis Roelestraat 16a, 1151 CB Broek in Waterland, Nederland, KvK-nummer 42155003, support@bouwman.io ("Aanbieder").

Deze verwerkersovereenkomst maakt deel uit van de Dienstverleningsovereenkomst of, als er geen ondertekende Dienstverleningsovereenkomst is, van de Algemene voorwaarden. Het is de overeenkomst die artikel 28 lid 3 van de Algemene verordening gegevensbescherming (AVG) vereist.

1. Definities

1.1 Begrippen als "persoonsgegevens", "verwerking", "verwerkingsverantwoordelijke", "verwerker", "betrokkene", "inbreuk in verband met persoonsgegevens" en "toezichthoudende autoriteit" hebben de betekenis uit de AVG. 1.2 "Dienst", "Werkruimte", "Scangegevens", "Korte Link", "Gebruikers" en "Eigen Domein" hebben de betekenis uit de Dienstverleningsovereenkomst of, bij gebreke daarvan, de Algemene voorwaarden. 1.3 "Subverwerker": een derde die Aanbieder inschakelt en die namens Klant persoonsgegevens verwerkt.

2. Onderwerp, duur, aard en doel

2.1 Onderwerp: de verwerking van persoonsgegevens die nodig is om de dienst QR Code Manager aan Klant te leveren. Details staan in Bijlage A. 2.2 Duur: zolang Klant een Werkruimte heeft, plus de exitperiode van 60 dagen uit artikel 11. 2.3 Aard: hosten, opslaan, vastleggen van scans (van gevolgde QR-codes) en kliks (op Korte Links), herkennen van geautomatiseerde bezoeken zoals linkvoorbeelden aan de hand van de User-Agent-header, opzoeken van de globale locatie, aggregeren tot statistieken, exporteren, verwijderen, versturen van transactionele e-mail aan Gebruikers. 2.4 Doel: Klant in staat stellen QR-codes en Korte Links te beheren, scans en kliks door te sturen, de statistieken daarvan te zien en zijn Gebruikers te beheren. Aanbieder verwerkt de persoonsgegevens voor geen enkel ander doel.

3. Rollen

3.1 Klant is verwerkingsverantwoordelijke voor de persoonsgegevens in Bijlage A. Aanbieder is verwerker. 3.2 Aanbieder is zelfstandig verwerkingsverantwoordelijke voor gegevens over de eigen relatie van Klant met Aanbieder: contactgegevens van het account, factuurgegevens, facturen, supportmails en de beveiligingsauditlog voor zover die voor de eigen beveiliging van Aanbieder wordt bijgehouden. Die verwerking staat in het Privacybeleid, niet in deze verwerkersovereenkomst. 3.3 Klant bevestigt dat hij een grondslag heeft voor de verwerking en dat hij mensen die zijn codes scannen of zijn Korte Links openen de informatie geeft die de AVG vereist, waar van toepassing.

4. Instructies

4.1 Aanbieder verwerkt de persoonsgegevens alleen op gedocumenteerde instructies van Klant. Deze verwerkersovereenkomst, de Dienstverleningsovereenkomst, de Algemene voorwaarden en de instellingen die Klant in de Dienst maakt zijn die instructies. 4.2 Aanbieder verwerkt de persoonsgegevens niet voor eigen doelen, verkoopt ze niet en combineert ze niet met gegevens van andere klanten, behalve als geaggregeerde, niet-herleidbare gebruiksstatistieken. 4.3 Vindt Aanbieder dat een instructie in strijd is met de AVG of andere wetgeving, dan meldt hij dat direct aan Klant en mag hij die instructie pauzeren tot het is opgelost. 4.4 Verplicht Unierecht of nationaal recht Aanbieder om de gegevens anders te verwerken, dan informeert Aanbieder Klant vooraf, tenzij de wet dat verbiedt.

5. Geheimhouding van personeel

5.1 Aanbieder zorgt dat iedereen die toegang kan hebben tot de persoonsgegevens (eventueel personeel van Aanbieder en opdrachtnemers) gebonden is aan een contractuele of wettelijke geheimhoudingsplicht en alleen toegang krijgt voor zover nodig voor het werk. 5.2 Op de datum van deze verwerkersovereenkomst is de toegang tot productie beperkt tot Remco Bouwman. Aanbieder informeert Klant als dit wezenlijk verandert.

6. Beveiliging

6.1 Aanbieder neemt de technische en organisatorische maatregelen uit Bijlage B. Samen geven die een beveiligingsniveau dat past bij het risico, rekening houdend met de stand van de techniek, de kosten en de aard van de gegevens (vooral pseudonieme technische gegevens over scans; geen bijzondere categorieën). 6.2 Aanbieder mag de maatregelen aanpassen zolang het totale beschermingsniveau niet daalt. Bijlage B wordt actueel gehouden op [URL]. 6.3 Klant is verantwoordelijk voor de beveiliging aan zijn kant: sterke wachtwoorden, het verwijderen van vertrekkende Gebruikers, het beveiligen van de DNS van zijn Eigen Domein en de veiligheid van geëxporteerde gegevens na het downloaden.

7. Subverwerkers

7.1 Klant geeft Aanbieder algemene toestemming om de Subverwerkers in Bijlage C in te schakelen. 7.2 Aanbieder legt elke Subverwerker schriftelijke verplichtingen op het gebied van gegevensbescherming op die minstens zo beschermend zijn als deze verwerkersovereenkomst, en blijft tegenover Klant volledig aansprakelijk voor de prestaties van de Subverwerker. 7.3 Voordat Aanbieder een Subverwerker toevoegt of vervangt, informeert hij de beheerders van Klant minstens 30 dagen vooraf per e-mail, met naam, geleverde dienst en locatie van de verwerking. De actuele lijst staat op [URL]. 7.4 Klant kan binnen die 30 dagen schriftelijk bezwaar maken op redelijke gronden van gegevensbescherming. Partijen overleggen dan over een oplossing. Is er binnen 30 dagen na het bezwaar geen oplossing, dan mag Klant de Dienstverleningsovereenkomst voor de betreffende Werkruimte met onmiddellijke ingang beëindigen, en betaalt Aanbieder vooruitbetaalde vergoedingen voor de periode na de beëindiging terug. 7.5 Het met spoed vervangen van een Subverwerker om redenen van beveiliging of continuïteit mag zonder voorafgaande aankondiging; Aanbieder informeert Klant zo snel mogelijk, en het bezwaarrecht uit 7.4 geldt vanaf die melding.

8. Bijstand

8.1 Verzoeken van betrokkenen. Ontvangt Aanbieder een verzoek van een betrokkene (inzage, rectificatie, wissing, beperking, overdraagbaarheid, bezwaar) dat de Werkruimte van Klant betreft, dan stuurt Aanbieder het binnen 5 Werkdagen door aan Klant en beantwoordt het niet zelf, behalve om de persoon naar Klant te verwijzen. 8.2 Aanbieder helpt Klant zulke verzoeken te beantwoorden met de middelen in de Dienst (export, verwijderen per code, verwijderen per scan op verzoek) en, waar die middelen niet volstaan, met redelijke handmatige hulp. 8.3 Opmerking over scangegevens: Aanbieder kan een scanrecord meestal niet koppelen aan een persoon met naam, omdat de Dienst geen identiteit van de scanner opslaat. Levert een betrokkene een IP-adres en een tijdvenster aan, dan kan Aanbieder bijpassende records voor Klant opzoeken en verwijderen. 8.4 DPIA's en voorafgaande raadpleging. Aanbieder geeft Klant de informatie die hij redelijkerwijs nodig heeft voor een gegevensbeschermingseffectbeoordeling of een voorafgaande raadpleging van een toezichthoudende autoriteit, voor zover het de Dienst betreft. 8.5 Bijstand die verder gaat dan wat de Dienst biedt en meer dan [4] uur per kalenderjaar kost, kan tegen EUR [tarief] per uur in rekening worden gebracht, vooraf afgesproken.

9. Inbreuken in verband met persoonsgegevens

9.1 Aanbieder informeert de beheerders van Klant per e-mail zonder onredelijke vertraging, en uiterlijk binnen 48 uur nadat hij bekend is geworden met een inbreuk in verband met persoonsgegevens die de persoonsgegevens van Klant raakt. 9.2 De melding bevat, voor zover op dat moment bekend: de aard van de inbreuk, de categorieën en het geschatte aantal betrokkenen en records, de waarschijnlijke gevolgen, de genomen of voorgestelde maatregelen en een contactpunt. Aanbieder vult ontbrekende informatie aan zodra die beschikbaar is. 9.3 Aanbieder helpt Klant bij het nakomen van zijn eigen meldplichten (artikelen 33 en 34 AVG). Aanbieder meldt niet namens Klant bij een toezichthoudende autoriteit of betrokkenen, tenzij Klant daar schriftelijk om vraagt. 9.4 Aanbieder documenteert alle inbreuken, de gevolgen ervan en de genomen herstelmaatregelen.

10. Audits

10.1 Aanbieder stelt de informatie beschikbaar die nodig is om naleving van artikel 28 AVG aan te tonen: deze verwerkersovereenkomst, Bijlage B, de lijst met Subverwerkers, een samenvatting van zijn beveiligingspraktijk en, waar beschikbaar, rapporten van derden over zijn Subverwerkers (zoals SOC 2-rapporten van Render, Neon en Resend). 10.2 Klant mag de naleving door Aanbieder eens per kalenderjaar auditen, en daarnaast na een inbreuk in verband met persoonsgegevens of op verzoek van een toezichthoudende autoriteit. 10.3 Een audit begint met schriftelijke vragen. Aanbieder antwoordt binnen 15 Werkdagen. Laten de schriftelijke antwoorden redelijke twijfel bestaan, dan mag Klant een audit op locatie of op afstand houden, zelf of door een onafhankelijke auditor die aan geheimhouding is gebonden, minstens 30 dagen vooraf aangekondigd, tijdens kantooruren, en zonder de Dienst of de vertrouwelijkheid van gegevens van andere klanten te verstoren. 10.4 Klant draagt de kosten van de audit, inclusief de redelijke tijd van Aanbieder tegen EUR [tarief] per uur, tenzij de audit een wezenlijke schending van deze verwerkersovereenkomst door Aanbieder aantoont. 10.5 [OPTIONEEL, alleen als de software als open source is gepubliceerd: Klant kan de broncode ook op elk moment inzien op [URL repository].]

11. Verwijdering en teruggave

11.1 De beheerders van Klant kunnen alle persoonsgegevens uit Bijlage A op elk moment vanuit de Dienst exporteren, in JSON en CSV, zonder kosten. Exports bevatten nooit ruwe IP-adressen. 11.2 Klant kan op elk moment individuele QR-codes of Korte Links (waarmee hun Scangegevens worden verwijderd), individuele Gebruikers of de hele Werkruimte verwijderen. 11.3 Wordt de Werkruimte verwijderd, of eindigt de Dienstverleningsovereenkomst, dan start een exitperiode van 60 dagen. De Werkruimte is dan vergrendeld en Gebruikers kunnen niet meer inloggen. Er wordt nog niets verwijderd. Klant wordt geacht te exporteren voordat hij verwijdert; tijdens de periode levert Aanbieder dezelfde export op schriftelijk verzoek binnen 5 Werkdagen aan de contactpersoon van Klant, en herstelt hij de Werkruimte op schriftelijk verzoek. 11.4 Aan het einde van de periode van 60 dagen verwijdert Aanbieder alle persoonsgegevens uit Bijlage A definitief uit de productiesystemen. Back-upkopieën worden binnen de normale back-upcyclus van Aanbieder van maximaal [30] dagen daarna overschreven. 11.5 Aanbieder bevestigt de verwijdering op verzoek schriftelijk. 11.6 Uitzondering: facturen en de administratie die nodig is om ze te onderbouwen (abonnement, periode, bedragen, aantallen scans, codes en Korte Links per factuurperiode, factuurcontact) worden 7 jaar bewaard op grond van art. 52 Algemene wet inzake rijksbelastingen. Zij bevatten geen Scangegevens. Voor deze bewaring treedt Aanbieder op als verwerkingsverantwoordelijke. 11.7 Eigen Domeinen worden op verzoek van Klant binnen 5 Werkdagen, en uiterlijk aan het einde van de exitperiode, uitgeschreven en worden nooit bewaard.

12. Internationale doorgifte

12.1 Aanbieder verwerkt de persoonsgegevens in de Europese Economische Ruimte. Aanbieder geeft ze niet door buiten de EER, tenzij een geldig doorgiftemechanisme onder hoofdstuk V AVG is getroffen. 12.2 De hostinglocatie en het doorgiftemechanisme van elke Subverwerker staan in Bijlage C. Is een Subverwerker gevestigd in de Verenigde Staten, dan steunt Aanbieder op het EU-VS Data Privacy Framework waar de Subverwerker gecertificeerd is, en anders op de standaardcontractbepalingen van de Europese Commissie (2021/914) die in de verwerkersvoorwaarden van die Subverwerker zijn opgenomen. 12.3 Aanbieder informeert Klant minstens 30 dagen vooraf over een wijziging van de hostingregio naar buiten de EER, en het bezwaarrecht uit artikel 7.4 geldt.

13. Aansprakelijkheid

13.1 De aansprakelijkheidsbepalingen van de Dienstverleningsovereenkomst (artikel 14) gelden voor deze verwerkersovereenkomst, inclusief het hogere maximum voor schendingen van het privacyrecht. Is er geen Dienstverleningsovereenkomst, dan geldt de aansprakelijkheidsbepaling van de Algemene voorwaarden, met de toevoeging dat de aansprakelijkheid van Aanbieder voor schending van deze verwerkersovereenkomst is beperkt tot tweemaal de vergoedingen die in de 12 maanden voor de gebeurtenis zijn betaald. 13.2 Elke partij is tegenover betrokkenen aansprakelijk zoals bepaald in artikel 82 AVG.

14. Duur en rangorde

14.1 Deze verwerkersovereenkomst geldt zolang Aanbieder persoonsgegevens voor Klant verwerkt. 14.2 Spreekt deze verwerkersovereenkomst de Dienstverleningsovereenkomst of de Algemene voorwaarden tegen op een punt dat persoonsgegevens betreft, dan gaat deze verwerkersovereenkomst voor. 14.3 Aanbieder mag deze verwerkersovereenkomst aanpassen aan wijzigingen in wetgeving, Subverwerkers of de Dienst. Aanbieder kondigt wezenlijke wijzigingen minstens 30 dagen vooraf per e-mail aan de beheerders van Klant aan. Wijzigingen die de bescherming van Klant verminderen vereisen aanvaarding door Klant. 14.4 Nederlands recht is van toepassing. Geschillen worden voorgelegd aan de rechter die bevoegd is onder de Dienstverleningsovereenkomst of, bij gebreke daarvan, de bevoegde rechter in Nederland.

---

Bijlage A: Verwerkingsdetails

A.1 Categorieën van betrokkenen

1. Scanners: mensen die een gevolgde QR-code van Klant scannen of een van zijn Korte Links openen. Zij hebben geen account en zijn bij Klant en Aanbieder meestal niet bij naam bekend. Geautomatiseerde bezoekers zoals linkvoorbeelden en zoekmachines worden op dezelfde manier vastgelegd, maar gemarkeerd als bot (zie device hieronder).
2. Gebruikers: mensen aan wie Klant toegang geeft tot zijn Werkruimte (beheerders en leden), en mensen die Klant uitnodigt.

A.2 Categorieën van persoonsgegevens

Scanners (tabel scan_events, één rij per scan van een gevolgde code of klik op een Korte Link):

Veld	Inhoud	Zichtbaar in product	In export	Bewaartermijn
ts	datum en tijd van de scan	ja	ja	levensduur van het scanrecord
ip	IP-adres van het scannende apparaat (IPv4 of IPv6, volledig opgeslagen)	nooit	nooit	levensduur van het scanrecord (geen afkapping of aparte verwijdering; alleen gebruikt om unieke scans te tellen en om bij de scan de locatie op te zoeken)
device	apparaattype uit de User-Agent-header, of bot bij geautomatiseerde bezoeken (zoekmachines, linkvoorbeelden, scripts, verzoeken zonder User-Agent); botrijen worden bewaard maar tellen niet mee in de statistieken, het aantal kliks en de maandlimiet	ja	ja	levensduur van het scanrecord
os	naam en versie van het besturingssysteem uit de User-Agent-header	ja	ja	levensduur van het scanrecord
browser	naam en versie van de browser of in-app-browser uit de User-Agent-header	ja	ja	levensduur van het scanrecord
country	land, opgezocht op basis van het IP-adres in een lokaal gehoste GeoLite2-database	ja	ja	levensduur van het scanrecord
subdivision	regio, staat of provincie, zelfde lookup	ja	ja	levensduur van het scanrecord
city	stad, zelfde lookup	ja	ja	levensduur van het scanrecord
latitude, longitude	globale coördinaten van het stadscentrum uit dezelfde lookup, geen gps	ja (kaart)	ja	levensduur van het scanrecord
host	de hostnaam waarop de code is gescand of de Korte Link is geopend (standaarddomein, het korte domein van Aanbieder of Eigen Domein)	nee	ja	levensduur van het scanrecord
qr_code_id of short_link_id, tenant_id	welke code of Korte Link, en welke Werkruimte	ja	ja	levensduur van het scanrecord

Een scanrecord bestaat zolang de QR-code of Korte Link waar het bij hoort, of tot Klant de code of link, de scan of de Werkruimte verwijdert (met inachtneming van de exitperiode van 60 dagen). Factuurperiodes bewaren alleen aantallen (scans, codes en Korte Links), geen scanrecords.

Gebruikers (tabellen users, invites, password_resets, refresh_tokens, audit_log):

Categorie	Inhoud	Bewaartermijn
Identificatie	e-mailadres, rol, status (pending, actief, uitgeschakeld)	levensduur van het account
Inloggegevens	wachtwoord alleen als bcrypt-hash; gehashte uitnodigings- en resettokens; identifiers van refresh tokens	wachtwoord: levensduur van het account; uitnodigings- en resettokens: tot gebruikt of verlopen; refresh tokens: 7 dagen of tot uitloggen
Auditlog	handelingen zoals inloggen, uitnodigen, resetten, rolwijziging, uitschakelen, met actor, doel en tijdstip	levensduur van de Werkruimte; regels over de verwijdering van de Werkruimte zelf blijven daarna zonder tenantverwijzing bewaard als bewijs van de verwijdering
Inhoud	QR-codes die een Gebruiker maakt, inclusief naam, bestemming, inhoud en stijl, die persoonsgegevens kunnen bevatten als Klant die erin zet (bijvoorbeeld een vCard of een e-mailadres in een statische code)	levensduur van de code

A.3 Bijzondere categorieën

Geen. Klant mag de Dienst niet gebruiken om bijzondere categorieën van persoonsgegevens (artikel 9 AVG) of strafrechtelijke gegevens te verwerken.

A.4 Verwerkingen

Ontvangen van het scan- of klikverzoek en doorsturen van de bezoeker; vastleggen daarvan; uitlezen van de User-Agent-header, inclusief het herkennen van geautomatiseerde bezoeken; opzoeken van de globale locatie in een lokaal gehoste database; aggregeren van scans tot grafieken en aantallen; exporteren; verwijderen; opslaan van Gebruikers en hun inloggegevens; versturen van transactionele e-mails (uitnodigingen, wachtwoordresets, meldingen over de scanlimiet) aan Gebruikers via de e-mail-Subverwerker; schrijven van de auditlog.

Bijlage B: Beveiligingsmaatregelen

1. Tenantisolatie. Elke tenantgebonden tabel is beschermd met PostgreSQL row-level security. De databaserol van de applicatie kan rijen van een andere Werkruimte niet lezen of schrijven, wat de applicatiecode ook doet. De tenantcontext wordt per transactie gezet. De tenant in de JWT moet overeenkomen met de tenant in de URL, anders wordt het verzoek geweigerd.
2. Twee databaserollen. De applicatie draait als een beperkte rol; een beheerrol die RLS omzeilt wordt alleen gebruikt voor handelingen van de aanbieder, die elk worden gelogd.
3. Transportversleuteling. Al het verkeer gebruikt TLS, ook op Eigen Domeinen, waarvoor de hostingaanbieder automatisch certificaten uitgeeft. Verbindingen met de database gebruiken TLS.
4. Versleuteling in rust. Databaseopslag en back-ups worden door de databaseaanbieder in rust versleuteld.
5. Authenticatie. Wachtwoorden worden alleen opgeslagen als bcrypt-hash met kostenfactor [12]. Inloggen gebruikt een vergelijking met een dummyhash, zodat onbekende e-mailadressen niet via timing van verkeerde wachtwoorden te onderscheiden zijn. Inlogeindpunten zijn per tenant en per IP-adres begrensd in aantal pogingen.
6. Sessiebeveiliging. Kortlevende toegangstokens (alleen als Bearer-header, nooit cookies, zodat CSRF niet van toepassing is). Refresh tokens zijn eenmalig bruikbaar, roteren bij elk gebruik, kunnen serverzijdig worden ingetrokken en verlopen na 7 dagen. Hergebruik van een geroteerde refresh token wordt als diefstal behandeld en beëindigt elke sessie van dat account. Uitloggen trekt serverzijdig in. Het uitschakelen van een Gebruiker maakt zijn tokens direct ongeldig. Tokentype en algoritme liggen vast.
7. Uitnodigings- en resettokens. Alleen SHA-256-hashes worden opgeslagen, tokens zijn eenmalig en tijdgebonden, en de ruwe link gaat uitsluitend naar de inbox van de ontvanger.
8. Invoervalidatie. Alle invoer wordt met een schema gevalideerd; onbekende velden worden geweigerd. Alleen geparametriseerde queries. Bestemmingen worden bij opslaan en opnieuw bij de redirect gevalideerd als http of https, om open redirects te voorkomen. Huisstijlafbeeldingen worden alleen geaccepteerd als begrensde data-URI's, nooit als externe URL's. Beveiligingsheaders via helmet en een Content Security Policy.
9. Hostafhandeling. De tenant en het Eigen Domein worden bepaald uit de Host-header, niet uit door de client meegestuurde forwarding-headers.
10. Auditlog. Inloggen, uitnodigen, resetten, uitschakelen, rolwijziging, aanmaken, uitschakelen en verwijderen van een tenant en alle handelingen van de aanbieder worden in dezelfde transactie als de handeling gelogd, met actor, doel en tijdstip.
11. Dataminimalisatie. Ruwe IP-adressen worden nooit getoond in het product of opgenomen in een export; ze worden alleen gebruikt om unieke scans te tellen en de globale locatie op te zoeken. Locatielookups draaien tegen een GeoLite2-database die Aanbieder zelf host; er gaan daarvoor geen scangegevens naar een derde.
12. Geheimen en configuratie. Geheimen staan in omgevingsvariabelen, nooit in code. Productie weigert te starten met onveilige configuratie (bijvoorbeeld e-mails die naar de logs gaan).
13. Back-ups. Dagelijkse automatische databaseback-ups door de databaseaanbieder, bewaard [7 tot 30] dagen. Het terugzetten wordt minstens [twee] keer per jaar getest.
14. Toegangsbeheer bij Aanbieder. Toegang tot productie beperkt tot Remco Bouwman, beschermd met meerfactorauthenticatie bij de hosting-, database-, e-mail- en betaalaanbieders. Persoonlijke apparaten zijn versleuteld en vergrendeld.
15. Monitoring. Externe beschikbaarheidsmonitoring van het redirect-eindpunt; foutmeldingen; afhankelijkheden worden regelmatig bijgewerkt.
16. Verwijdering. Het verwijderen van een Werkruimte vergrendelt die direct, trekt elke sessie in en wist alle gegevens na de periode van 60 dagen; het wissen is geautomatiseerd en wordt gelogd.
17. Incidentrespons. Gedocumenteerde procedure: indammen, beoordelen, Klant binnen 48 uur informeren, herstellen, op verzoek een rapport na afloop schrijven.

Bijlage C: Subverwerkers

Subverwerker	Dienst	Persoonsgegevens	Locatie van verwerking	Doorgiftemechanisme
Render Services, Inc. (Verenigde Staten)	Applicatiehosting, TLS-certificaten voor Eigen Domeinen, uitgaande verbindingen	Alle gegevens die door de applicatie gaan, inclusief scanverzoeken (IP, User-Agent) en hostnamen van Eigen Domeinen	Render-regio [Frankfurt, EU, te bevestigen in het Render-dashboard]; supportmedewerkers van Render kunnen toegang hebben vanuit de VS	EU-VS Data Privacy Framework en SCC's in de verwerkersovereenkomst van Render
Neon, Inc. (Verenigde Staten)	Beheerde PostgreSQL-database en back-ups	Alle opgeslagen gegevens uit Bijlage A	Neon-projectregio [AWS eu-central-1 Frankfurt, te bevestigen in de Neon-console]	EU-VS Data Privacy Framework en SCC's in de verwerkersovereenkomst van Neon
Resend, Inc. (Verenigde Staten)	Transactionele e-mail	E-mailadressen van Gebruikers; inhoud van uitnodigingen, wachtwoordresets, meldingen over de scanlimiet, facturen. Geen Scangegevens.	Verenigde Staten, met EU-verzendregio [te bevestigen]	SCC's in de verwerkersovereenkomst van Resend
Mollie B.V. (Nederland)	Betalingsverwerking voor selfserviceabonnementen	Naam en e-mailadres van het factuurcontact, betaalgegevens die Klant bij Mollie invoert, betaalstatus. Geen Scangegevens. Mollie is zelfstandig verwerkingsverantwoordelijke voor de betaling zelf.	Europese Unie (Nederland)	Niet van toepassing (EER)

Geen Subverwerker, genoemd voor de transparantie: MaxMind, Inc. publiceert de GeoLite2-database die Aanbieder downloadt en zelf host. Er gaan geen persoonsgegevens naar MaxMind. Google Analytics draait alleen op de publieke marketingsite na cookietoestemming en verwerkt nooit Scangegevens of Gebruikersgegevens van Klant; het valt onder het Privacybeleid.

Datum van deze lijst: [datum]. Actuele lijst: [URL].