1. Toepasselijkheid
Deze lijst beschrijft de dienstverleners die Amerged B.V. inschakelt voor de hieronder genoemde verwerking. Zij vormt onderdeel van de verwerkersovereenkomst (DPA) voor zover de betrokken dienstverlener persoonsgegevens namens een klant verwerkt. Een vermelding betekent niet dat iedere leverancier bij ieder project toegang heeft tot alle gegevens.
Voor de publieke website en onze eigen zakelijke administratie kan amerged zelf verwerkingsverantwoordelijke zijn en de leverancier verwerker. Die verwerking is beschreven in de privacyverklaring. Een door de klant rechtstreeks gecontracteerde leverancier is niet alleen vanwege een technische koppeling onze subverwerker; de opdracht legt de verantwoordelijkheden vast.
2. Infrastructuur, e-mail en facturatie
| Leverancier | Dienst en gegevens | Locatie en doorgifte |
|---|---|---|
| Contabo GmbH, Duitsland | Hosting en infrastructuur voor overeengekomen klantomgevingen. Kan klantbestanden, databanken, applicatiegegevens, operationele logs en back-ups omvatten, afhankelijk van de opdracht. | De standaard kernhosting voor klantdiensten staat in München, Duitsland. Deze opslaglocatie is geen algemene garantie over alle toegang door de leverancier of diens verdere verwerkers. Voor de gekozen diensten gelden de afgesloten verwerkersafspraken; eventuele toegang uit derde landen moet aan artikel 4 voldoen. |
| Cloudflare, Inc., Verenigde Staten | Netwerkbescherming, beveiliging en verkeerafhandeling voor betrokken diensten. Voor de publieke amerged-website ook levering via edge-infrastructuur. Verwerking kan IP-adressen, verzoekmetadata, beveiligingsgebeurtenissen en, bij ontsleuteld proxyverkeer, verzoekinhoud omvatten. | Internationaal netwerk, waaronder de EER en de VS; landen en ingeschakelde functies bepalen de concrete route en toegang. Geen algemene toezegging van uitsluitend EU-verwerking. De toepasselijke Cloudflare-DPA, doorgiftewaarborgen en eventuele specifiek overeengekomen regionale configuratie gelden. |
| Google — gecontracteerde e-mail-/cloudmaildienst | Zakelijke e-mail, contactformulierontvangst en supportcorrespondentie. Verwerkt e-mailadressen, berichtinhoud, eventuele bijlagen en bezorg- en beveiligingsmetadata. Verwerker voor onze eigen correspondentie; uitsluitend subverwerker voor klantinhoud wanneer die verwerking via het afgesproken supportkanaal is toegestaan. | Google Cloud EMEA Limited, Ierland, is volgens het huidige Google-entiteitenoverzicht doorgaans de contractpartij voor Nederlandse Workspace- en Cloud-accounts; het daadwerkelijke accountcontract is bepalend. De infrastructuur en ondersteuningsketen kunnen wereldwijd zijn. De toepasselijke Google-CDPA, doorgiftewaarborgen en daadwerkelijk ingestelde regionale functies gelden. |
| Resend — Plus Five Five, Inc., Verenigde Staten | Verzending van contactformulierberichten via de door amerged beheerde ohmyho.st-mailgateway naar het Google-postvak. Verwerkt afzender- en ontvangergegevens, berichtinhoud en bezorgmetadata. Bij dit algemene formulier is Resend verwerker voor amerged als verwerkingsverantwoordelijke. | Amerikaanse aanbieder met verdere dienstverleners; geen algemene EU-beperking voor e-mailverzending. De Resend-DPA en toepasselijke doorgiftewaarborgen gelden. |
Cloudflare's rol bij websitelevering staat los van de keuze voor Contabo als kernhosting van klantdiensten. ohmyho.st is voor de amerged-website een dienst die door Amerged B.V. zelf wordt beheerd; het is hier geen afzonderlijke externe subverwerker. De externe infrastructuurrol van Cloudflare blijft wel relevant.
Facturatie via Revolut Business. Voor facturen en betalingsadministratie gebruiken wij Revolut Business. Verwerking kan contact- en factuurgegevens, factuurregels, betalingsreferenties en transactiestatus omvatten. Voor eigen bank-, wettelijke en fraudebestrijdingsdoeleinden is Revolut zelfstandig verwerkingsverantwoordelijke. De Nederlandse privacyinformatie noemt Revolut Bank UAB als primaire verantwoordelijke in de EER; de toepasselijke accountvoorwaarden bepalen de betrokken entiteit en de rol bij specifieke facturatiefuncties. Revolut is geen subverwerker van klantapplicatie-inhoud alleen omdat wij het voor onze facturatie gebruiken. De internationale dienstverlening kan doorgiften buiten de EER omvatten.
Support en klantinhoud. Gewone supportmail loopt via Google en is bedoeld voor administratieve correspondentie en probleemomschrijvingen. Productiegegevens of bestanden met persoonsgegevens van klanten mogen alleen worden gedeeld via een vooraf afgesproken, geschikt supportkanaal. Google wordt voor zulke inhoud alleen als subverwerker gebruikt wanneer de overeengekomen werkwijze en verwijderinstellingen de DPA-termijnen ondersteunen. De algemene verwijdertermijn van een leverancier is geen automatische verlenging van onze contractuele termijnen.
3. Optionele AI-uitvoering via orq.ai
orq.ai wordt uitsluitend voor een klant geactiveerd wanneer de opdracht dit omvat. De openbare privacyinformatie noemt Orq.AI Holding B.V., Nederland als platformaanbieder. De daadwerkelijk gecontracteerde entiteit wordt in de opdracht of het bijbehorende verwerkingsregister vastgesteld voordat persoonsgegevens worden verwerkt.
De functie is het aansturen en beheren van overeengekomen LLM-aanroepen. amerged gebruikt via orq.ai modellen die voldoen aan de toepasselijke EU AI Act-verplichtingen, op in de EU gehoste infrastructuur; de modeluitvoering vindt in de EU plaats. Afhankelijk van de gekozen configuratie kunnen prompts, context, modelantwoorden, gebruikers- of verzoekidentificatie, gebruiksmetadata en uitvoeringslogs worden verwerkt. De opdracht legt de EU-endpoints en toegestane uitwijkroutes binnen de EU vast. Ondersteuning, telemetrie en verdere dienstverleners worden afzonderlijk beoordeeld; de toezegging over modeluitvoering maakt afzonderlijke e-mail-, netwerk- of administratieve verwerking niet automatisch EU-exclusief.
Vóór activering bevat de opdracht of de bijbehorende, aan de klant verstrekte lijst ten minste:
- de contracterende orq.ai-entiteit en de relevante verdere dienstverleners;
- de gekozen modelaanbieders, modellen, endpoints en verwerkingsregio's;
- welke persoonsgegevens mogen worden meegestuurd en of inhoud wordt gelogd;
- de bewaartermijnen voor prompts, antwoorden, telemetrie en herstelkopieën;
- de afspraken over gebruik voor modeltraining en over toegang voor ondersteuning;
- toegestane uitwijkroutes voor modeluitvoering binnen de EU, eventuele aanvullende ondersteunings- of telemetrieverwerking buiten de EER en de daarbij behorende waarborgen.
Niet gespecificeerde modelaanbieders zijn niet door deze algemene vermelding goedgekeurd. Een wijziging naar een nieuwe leverancier of een wezenlijk andere verwerkingsroute valt onder de DPA en de wijzigingsprocedure hieronder. Er wordt niet stilzwijgend uitgeweken naar een niet-overeengekomen regio. Zonder overeengekomen AI-optie blijft deze keten buiten de betreffende dienstverlening.
4. Verdere verwerkers en doorgiftewaarborgen
Onze leveranciers kunnen voor hun dienstverlening verdere verwerkers inzetten. De relevante keten wordt beoordeeld aan de hand van de daadwerkelijk gebruikte dienst en de toepasselijke verwerkersovereenkomst. Een link naar een algemene leverancierslijst betekent niet dat alle daarop genoemde partijen persoonsgegevens van iedere amerged-klant verwerken, en verleent geen onbeperkte toestemming voor nieuwe verwerkingen.
Verwerking buiten de EER vereist een geldige grondslag onder hoofdstuk V AVG. Dat kan een toepasselijk adequaatheidsbesluit zijn of de Europese standaardcontractbepalingen met een beoordeling en aanvullende maatregelen waar vereist. Het EU–VS Data Privacy Framework wordt alleen gebruikt voor een actief gecertificeerde ontvanger en een verwerking binnen de reikwijdte van die certificering. Zie onze SCC-informatie. Een klantafspraak over uitsluitend EU-verwerking moet de volledige relevante keten dekken, inclusief ondersteuning, logs en uitwijkroutes.
Relevante leveranciersinformatie:
- Contabo — informatie over de verwerkersovereenkomst. De overeenkomst voor de daadwerkelijk gekozen diensten wordt via het Contabo-klantportaal gesloten.
- Cloudflare — verwerkersovereenkomst en verdere verwerkers.
- orq.ai — privacyinformatie en Trust Center. Voor klantinhoud zijn de overeengekomen verwerkersafspraken en specifieke modelketen bepalend.
- Google — Cloud Data Processing Addendum, contracterende entiteiten, Workspace-subverwerkers en Cloud-subverwerkers. De daadwerkelijk gebruikte dienst bepaalt welke lijst relevant is.
- Resend — verwerkersovereenkomst en verdere verwerkers.
- Revolut Business — Nederlandse privacyinformatie.
5. Wijzigingen en vragen
Wij informeren de contractueel aangewezen klantcontactpersoon via het overeengekomen kanaal ten minste 30 dagen voordat een nieuwe of vervangende subverwerker voor de betreffende verwerking wordt ingezet. De kennisgeving vermeldt diens identiteit, werkzaamheden en relevante locaties. De klant kan binnen de kennisgevingsperiode gemotiveerd bezwaar maken op redelijke gronden die verband houden met gegevensbescherming. Behandeling van bezwaren en eventuele gevolgen voor de betrokken dienst volgen de DPA. Alleen deze webpagina aanpassen vervangt de vereiste kennisgeving niet.
Vragen kunnen worden gesteld via ons contactformulier, aan de aangewezen contractcontactpersoon of aan Amerged B.V., ter attentie van Privacy, Op de Smelen 1, 5863 BN Blitterswijck, Nederland. De Nederlandse tekst is de hoofdversie; de Engelse en Duitse teksten zijn vertalingen. De versie bovenaan geldt voor zowel de webpagina als de PDF die uit dezelfde bron wordt gemaakt.