Subverwerkerslijst — EduRegie
Bijlage bij de verwerkersovereenkomst. Wordt bijgewerkt zodra een subverwerker wijzigt — scholen worden hierover vooraf geïnformeerd conform artikel 6.2 van de verwerkersovereenkomst.
| Subverwerker | Functie | Locatie verwerking | Aard van de gegevens |
|---|---|---|---|
| Supabase (Supabase Inc.) | Database- en authenticatiehosting (PostgreSQL, gebruikersaccounts) | EU-West (Ierland) | Alle operationele verzuim-, rooster- en gebruikersgegevens |
| Vercel Inc. | Hosting van het webdashboard | EU-regio (te bevestigen bij Vercel-projectinstellingen) | Doorgeeft alleen verkeer; geen duurzame opslag van persoonsgegevens buiten de Supabase-database |
| Hostinger | Hosting van de n8n-automatiseringslaag (VPS) | EU (exact land te bevestigen in het Hostinger-paneel; bevestigd als EU-regio) | Gegevens die tijdens de verwerking door workflows stromen (niet duurzaam opgeslagen buiten de database) |
| Hostinger | E-mailhosting voor het verzendaccount info@elhoucineautomation.nl (SMTP), voor notificaties (roostermaker-alerts, teamleider-updates, dagkrant) | EU (exact land te bevestigen in het Hostinger-paneel; bevestigd als EU-regio) | Naam en e-mailadres van ontvanger, berichtinhoud zonder medische gegevens |
| Evolution API-instantie (self-hosted, zelfde VPS als n8n) | WhatsApp-meldkanaal | Zelfde regio als de Hostinger-VPS (EU) | Telefoonnummer en berichttekst van de afzender, uitsluitend operationele inhoud |
| MessageBird (Bird B.V.) | Telefonische verzuimmelding (spraak/IVR) — voorzien, nog niet in productie | EU (Amsterdam) | Telefoonnummer van de melder en (indien getranscribeerd) operationele berichtinhoud, geen medische gegevens |
| Google (Google Ireland Ltd.) | Google Sheets — pilotrapportage/statistiek-dashboard | EU (Ierland, bij EU-tenant) | Uitsluitend geaggregeerde, niet-herleidbare statistiek zolang Sheets in pilotmodus wordt gebruikt (zie google-sheets/README.md) |
| Sentry (Functional Software, Inc.) | Foutmonitoring van het webdashboard | Te bevestigen bij Sentry-projectinstellingen (EU-hosting kiesbaar) | Technische foutgegevens; geen bewust gelogde persoonsgegevens, maar foutmeldingen kunnen incidenteel contextdata bevatten |
Uitgangspunten
- Een subverwerker wordt alleen toegevoegd als deze zelf een verwerkersovereenkomst (of gelijkwaardige contractuele waarborgen, zoals de EU Standaardcontractbepalingen bij verwerking buiten de EER) aanbiedt.
- Voor productiegebruik met echte verzuimdata wordt Google Sheets niet als verwerker van persoonsgegevens ingezet — zie de aanbeveling in
google-sheets/README.mdom Sheets te beperken tot geanonimiseerde statistiek zodra een school live gaat. - WhatsApp-verzending loopt via een self-hosted Evolution API-instantie (geen data via Meta/WhatsApp Business Cloud API) — dit nog expliciet navragen of een jurist dit als subverwerker of als eigen infrastructuur beoordeelt.
- Het exacte Hostinger-datacenterland (voor zowel de VPS als de e-mailhosting) moet nog worden bevestigd in het Hostinger-paneel voordat deze lijst als bijlage bij een klantcontract wordt gebruikt — de EU-regio zelf staat vast.
- MessageBird is gekozen als telefonieprovider vanwege EU-vestiging (Amsterdam), wat de AVG-beoordeling vereenvoudigt ten opzichte van een Amerikaanse provider (die Standaardcontractbepalingen zou vereisen). Wordt pas een echte subverwerker zodra de telefonie-integratie live gaat.