Subverwerkers · CMR-JET

Huidige subverwerkers

Huidige subverwerkers van CMR-JET
Subverwerker	Doel	Datacategorieën	Regio	DPA / SCCs
Hetzner Online GmbH	Applicatie-hosting en opslag (productie)	Alle klantgegevens, applicatielogs	EU — Duitsland (applicatieserver: Neurenberg / nbg1; objectopslag: Falkenstein / fsn1)	Binnen EU/EER — geen doorgifte naar derde landen; Hetzner DPA (art. 28)
Cloudflare, Inc. (R2)	Versleutelde off-site back-ups van database en objectopslag	Versleutelde kopieën van alle klantgegevens; Cloudflare beschikt niet over de decryptiesleutel	R2-bucket geconfigureerd voor EU-jurisdictie	Cloudflare DPA; Cloudflare, Inc. beschikt over een actieve EU-U.S. DPF-certificering (adequaatheid, art. 45) — EU SCCs behouden als achtervang
Auth0 (Okta, Inc.)	Authenticatie en identiteit	Inloggegevens, profielmetadata (e-mail, naam)	EU-tenant	Auth0 / Okta DPA; VS-moedermaatschappij Okta, Inc. beschikt over een actieve EU-U.S. DPF-certificering die Auth0, LLC dekt (adequaatheid, art. 45) — EU SCCs behouden als achtervang
AWS SES (Amazon Web Services EMEA)	Transactionele e-mailbezorging (account, verificatie, meldingen)	Ontvanger-e-mailadres, berichtinhoud	EU-regio	AWS DPA; VS-moedermaatschappij gecertificeerd onder de EU-U.S. DPF (Amazon.com, Inc., dekkend Amazon Web Services, Inc.) (adequaatheid, art. 45) — EU SCCs behouden als achtervang
HubSpot, Inc.	In-app support-ticketing (CRM)	E-mailadres + naam van de supportaanvrager + inhoud van het supportticket	VS (app-na2, Noord-Amerika)	HubSpot DPA; HubSpot, Inc. beschikt over een actieve EU-U.S. DPF-certificering (adequaatheid, art. 45) — EU SCCs (Module 2) behouden als achtervang, één instrument
PostHog (EU Cloud, PostHog Inc.)	Anonieme bezoektellingen op onze publieke websites; niet gebruikt in de applicatie	Gebruikersgebeurtenissen, IP-adres, apparaat-/browsermetadata	EU (eu.posthog.com)	EU-regio — geen doorgifte naar derde landen; PostHog DPA
Stripe Payments Europe, Ltd.	Betalingsverwerking en facturatie	Factuurgegevens, betaalmethode-tokens	EU + VS	Stripe DPA; VS-entiteit Stripe, LLC beschikt over een actieve EU-U.S. DPF-certificering (adequaatheid, art. 45) — EU SCCs behouden als achtervang (activering loopt)

Doorgiftemechanisme

Voor de vijf VS-gelinkte subverwerkers — Cloudflare, Auth0/Okta, AWS SES, HubSpot en Stripe — berusten doorgiften naar de Verenigde Staten op het EU-U.S. Data Privacy Framework (adequaatheidsbesluit, art. 45 AVG): de betrokken VS-entiteiten beschikken over actieve DPF-certificeringen die de datacategorieën dekken die wij verwerken (non-HR data; Stripe daarnaast ook gecertificeerd voor HR-data). Er is geen transfer-impact assessment vereist waar de doorgifte op het adequaatheidsbesluit berust; de EU SCCs in de betreffende DPA's worden behouden als achtervang mocht het DPF-adequaatheidsbesluit worden ingetrokken of een certificering vervallen. Hetzner (de host) en PostHog (EU Cloud) zijn EU-only zonder doorgifte naar derde landen.

Wijzigingen en kennisgeving

Wanneer wij een nieuwe subverwerker toevoegen of vervangen, werken wij deze pagina bij en informeren wij klanten ten minste 30 dagen vóór activering, zodat klanten redelijke gronden tot bezwaar kunnen aanvoeren conform de DPA. Klanten kunnen zich abonneren op wijzigingen via privacy@cmr-jet.eu.

Naar deze lijst verwijzen artikel 6 van onze privacyverklaring en artikel 6 van onze verwerkersovereenkomst.

Vragen over deze lijst? Neem contact op via privacy@cmr-jet.eu.