Subverwerkers

Wat een subverwerker is

Wanneer u een enquête uitvoert, bent u de verwerkingsverantwoordelijke en zijn wij uw verwerker. Iedereen die wij inschakelen om een deel van die verwerking uit te voeren — het bedrijf dat de database draait, het bedrijf dat de inlogmail bezorgt — is een subverwerker. Artikel 28 UK GDPR bepaalt dat wij er alleen een mogen inschakelen met uw toestemming, en dat wij hun dezelfde verplichtingen op het gebied van gegevensbescherming moeten opleggen als wij jegens u hebben. Onze verwerkersovereenkomst geeft die toestemming voor de hierboven genoemde aanbieders en beschrijft hoe met toevoegingen wordt omgegaan.

Toelichting per regel

Supabase en Amazon Web Services

Deze twee zijn degene die er voor enquêtegegevens toe doen. Supabase levert de database, de authenticatie en de bestandsopslag; het draait op AWS-infrastructuur in de regio Londen. Enquêtedefinities, antwoorden, opgeslagen tussentijdse antwoorden en geüploade bestanden staan hier en nergens anders. De maatregelen die daarop van toepassing zijn — beveiliging op rijniveau, isolatie tussen organisaties die aan de serverkant wordt vastgelegd, en een privéopslag voor uploads met kortlevende ondertekende URL's — staan beschreven op de beveiligingspagina.

Resend

Vermeld voor transactionele e-mail. Enquête-eigenaren een bericht sturen wanneer er een reactie binnenkomt, verloopt via Resend zodra voor een enquête meldingsadressen zijn ingesteld. Waar dat wordt gebruikt, ontvangt Resend een e-mailadres en de inhoud van het bericht. Enquêteantwoorden ontvangt Resend niet. Account- en inlogmail wordt afgehandeld door Supabase, dat al op deze lijst staat.

Anthropic

Deze regel wordt gepubliceerd vóór de verwerking, niet vanwege de verwerking. Geautomatiseerde samenvatting van open antwoorden is niet gebouwd, en er wordt vandaag geen antwoordinhoud naar Anthropic gestuurd. We vermelden de partij nu al omdat de toezegging op deze pagina luidt dat we een toevoeging publiceren voordat die met de verwerking begint — en een lijst die altijd achteraan loopt, is weinig waard.

De voorwaarden waaronder die verwerking zou plaatsvinden — wat er wordt verstuurd, wat er eerst uit wordt gehaald, of de enquête-eigenaar het zelf moet aanzetten — liggen niet vast, en we gaan ze hier niet beschrijven voordat dat wel zo is. Deze pagina en de pagina over de UK GDPR zullen de details bevatten vóórdat de functie beschikbaar is, niet erna.

Hostinger

Levert de virtuele private server waarop de webapplicatie zelf draait. Die ziet technische verbindingsgegevens en applicatielogboeken, geen enquête-inhoud; die staat in Supabase. We hebben de datacenterregio voor deze server nog niet bevestigd, dus zijn de locatie en de doorgiftewaarborg gemarkeerd als nog te bevestigen in plaats van vermeld.

Google (Workspace)

Zakelijke e-mail en documentopslag. Er stromen geen enquêtegegevens doorheen. Het staat op de lijst omdat correspondentie met de ondersteuning persoonsgegevens kan bevatten zodra een klant die in een e-mail plakt, en een lijst met subverwerkers die stilzwijgend de plek weglaat waar uw e-mail terechtkomt, is niet volledig. De dataregio is nog niet bevestigd.

Hoe we deze lijst wijzigen

We publiceren wijzigingen in deze lijst voordat een nieuwe subverwerker met de verwerking begint. Klanten met een ondertekende verwerkersovereenkomst kunnen op redelijke gronden van gegevensbescherming bezwaar maken tegen een toevoeging; de verwerkersovereenkomst beschrijft wat er dan gebeurt. Verwijderingen worden gepubliceerd zodra ze plaatsvinden. De datum "laatst beoordeeld" boven aan deze pagina verandert zodra welke regel dan ook verandert, dus die kunt u veilig vergelijken of als bladwijzer bewaren.

Heeft u deze lijst nodig als bijlage bij een aanbestedingsdossier, of een bevestigde regio voordat u kunt tekenen, vraag het dan via de contactpagina. Dan gaan we bij de aanbieder achter het antwoord aan en werken we de regel bij, in plaats van u een mondelinge toezegging te geven.