Subverwerkers
Versie 1.0 · 11 oktober 2026
In het kort
- Dit zijn de bedrijven die Ailard inschakelt en die daarbij persoonsgegevens van klanten kunnen verwerken.
- Een deel zetten we standaard in, een deel alleen als u daarvoor kiest.
- Per partij ziet u waar de gegevens worden verwerkt en wat de grond is als gegevens de EU verlaten.
- Komt er een nieuwe partij bij, dan hoort u dat 30 dagen vooraf en kunt u bezwaar maken.
Wat is een subverwerker?
Ailard bouwt en beheert software voor uw bedrijf. Daarvoor is Ailard uw verwerker. Soms schakelt Ailard daarbij een ander bedrijf in dat ook bij uw gegevens kan, bijvoorbeeld een AI-dienst of een opslagdienst. Zo'n bedrijf heet een subverwerker.
Met elke subverwerker heeft Ailard een verwerkersovereenkomst. Daarin staan minstens dezelfde privacyafspraken als in onze verwerkersovereenkomst. Welke subverwerkers voor uw software worden gebruikt, staat in Bijlage A van uw verwerkersovereenkomst.
Uitleg bij de kolommen
- Rol: waarvoor Ailard de partij gebruikt.
- Locatie: waar de gegevens worden verwerkt of opgeslagen.
- Doorgifte: de juridische grond als gegevens buiten de Europese Economische Ruimte (EER) komen. SCC's zijn de standaardcontractbepalingen van de Europese Commissie. Het DPF is het EU-US Data Privacy Framework, een besluit van de Europese Commissie voor Amerikaanse bedrijven die zich daarbij hebben aangesloten.
- Wanneer: in welke situatie Ailard de partij inzet.
Standaard
Deze partijen gebruikt Ailard voor alle of de meeste klanten.
| Partij | Rol | Locatie | Doorgifte | Wanneer |
|---|---|---|---|---|
| Anthropic PBC, VS | AI-dienst: draait het Claude-model via de eigen API van Anthropic. Volgens de commerciële voorwaarden van Anthropic worden invoer en antwoorden binnen 30 dagen gewist, en langer bewaard als er een vermoeden van misbruik is. Invoer wordt niet gebruikt om modellen te trainen. | VS (de API van Anthropic biedt geen keuze voor verwerking in de EU) | Anthropic-verwerkersvoorwaarden met SCC's | Als de AI-functies aan staan op het standaardniveau. Wilt u geen AI via de VS, kies dan het niveau EU (zie hieronder) of laat de AI-functies uitzetten. |
| Google Cloud EMEA Limited (Google Workspace), Ierland; moederbedrijf Google LLC (VS) | E-mail, agenda en documenten van Ailard. Hier komen persoonsgegevens terecht als u die in een e-mail of bijlage stuurt, bijvoorbeeld bij een supportvraag. | Volgens de dataregio-instelling van Google Workspace | Google-verwerkersvoorwaarden met SCC's; Google LLC is aangesloten bij het DPF | Bij alle klanten, voor communicatie en ondersteuning |
| Hostinger International Ltd., Cyprus | Productieserver die Ailard voor u huurt en beheert (beheerpakket). Stopt u, dan verhuist Ailard alles kosteloos naar een server op uw naam. | Datacenter in de EU | Geen doorgifte buiten de EER bij normale verwerking | Als Ailard de server voor u regelt |
| Hetzner Online GmbH, Duitsland | Bewaart versleutelde back-ups van de productiedatabase (Storage Box). | Duitsland | Geen doorgifte buiten de EER | Bij klanten van wie Ailard de back-ups verzorgt |
| Resend, VS | Verstuurt e-mails vanuit de software, zoals meldingen en wachtwoordherstel. Verwerkt naam, e-mailadres en de inhoud van de e-mail. | Verzenden: Ierland (EU). Accountgegevens, logs en metadata: VS | DPF; verwerkersvoorwaarden met SCC's | Alleen als uw software e-mail verstuurt via Resend |
| GitHub, Inc., VS | Bewaart de broncode van uw software. Hier horen geen persoonsgegevens in te staan. | VS | GitHub-verwerkersvoorwaarden met SCC's | Bij alle klanten, voor de broncode |
Alleen op verzoek
Deze partijen gebruikt Ailard alleen als u daarvoor kiest.
| Partij | Rol | Locatie | Doorgifte | Wanneer |
|---|---|---|---|---|
| Amazon Web Services EMEA SARL (AWS Bedrock), Luxemburg; moederbedrijf Amazon.com, Inc. (VS) | AI-dienst: draait het Claude-model voor de AI-functies in uw software. Bewaart invoer en antwoorden niet. Anthropic, de maker van Claude, krijgt geen toegang tot uw gegevens. | Alleen EU-datacenters (EU-profiel vanuit Frankfurt; verzoeken kunnen worden verwerkt in Duitsland, Zweden, Italië, Spanje, Ierland of Frankrijk) | Geen doorgifte bij normale verwerking. Voor toegang vanuit de VS: AWS-verwerkersvoorwaarden met SCC's | AI-niveau "EU", op afspraak |
| Scaleway SAS, Frankrijk | AI-dienst: draait een open AI-model (bijvoorbeeld Qwen, Gemma of Mistral). | Parijs, Frankrijk | Geen doorgifte buiten de EER | AI-niveau "Soeverein" via een Europese aanbieder. Er zit dan geen Amerikaans bedrijf in de keten. |
| OVHcloud SAS, Frankrijk | AI-dienst of server, als alternatief voor Scaleway of Hostinger. | Frankrijk | Geen doorgifte buiten de EER | Op verzoek van de klant |
| Hetzner Online GmbH, Duitsland | Verhuurt een eigen GPU-server aan Ailard, waarop Ailard zelf een open AI-model draait. | Duitsland (Falkenstein of Nürnberg) of Finland (Helsinki) | Geen doorgifte buiten de EER | AI-niveau "Soeverein" op een eigen server van Ailard |
Wat niet op deze lijst staat, en waarom
- De hostingpartij van uw productieserver, als die server op uw naam staat. U hebt dan zelf een contract met die partij. Ze is uw eigen verwerker en geen subverwerker van Ailard. Controleer of u met die partij een verwerkersovereenkomst hebt.
- Anthropic bij gebruik via AWS Bedrock. Anthropic maakt het Claude-model, maar AWS draait het. Anthropic krijgt dan geen toegang tot uw gegevens.
- Servers van Ailard zelf. De testomgeving draait op een eigen server van Ailard, met alleen verzonnen testgegevens. Een tweede kopie van de versleutelde back-ups staat op een eigen server van Ailard in Nederland. Die server is niet bereikbaar vanaf internet en alleen Allard Volker heeft toegang. Storingsmeldingen komen van eigen monitoring (Uptime Kuma) op een server van Ailard. Dit zijn geen andere bedrijven, dus geen subverwerkers.
- AI-hulpmiddelen waarmee Ailard programmeert. Ailard gebruikt die alleen met broncode en verzonnen testgegevens. Ze krijgen geen toegang tot uw server, uw database of uw persoonsgegevens.
- WhatsApp. Ailard gebruikt WhatsApp alleen voor korte afspraken. Stuur via WhatsApp geen persoonsgegevens van uw klanten, relaties of medewerkers, zoals schermafbeeldingen uit de software.
- De hostingpartij van de website ailard.nl. Die verwerkt geen klantgegevens uit uw software. Hoe Ailard omgaat met gegevens van bezoekers van de website, staat in de privacyverklaring.
Een nieuwe subverwerker
Wil Ailard een nieuwe subverwerker inschakelen of een bestaande vervangen?
- Ailard stuurt de contactpersoon privacy uit uw Bijlage A minstens 30 dagen vooraf een e-mail, en past deze lijst aan.
- U kunt binnen die 30 dagen bezwaar maken via hello@ailard.nl. Geef aan waarom.
- We zoeken samen een oplossing, bijvoorbeeld dat de nieuwe partij niet voor uw software wordt gebruikt.
- Komen we er niet uit, dan mag u het deel van de opdracht opzeggen waarvoor de nieuwe partij nodig is, zonder boete.
Bij spoed, bijvoorbeeld als een partij ermee stopt of een ernstig beveiligingsprobleem heeft, kan de melding korter vooraf of direct achteraf komen. U kunt dan alsnog bezwaar maken. De volledige regeling staat in Bijlage C van de verwerkersovereenkomst.
Wijzigingen in deze lijst
| Datum | Wijziging |
|---|---|
| 11 oktober 2026 | Eerste versie |