Subverwerkers
Aanbieder: STL EMBEDED CREATIONS SRL, Cluj-Napoca, Roemenië.
Deze lijst is Bijlage III bij de Verwerkersovereenkomst. Zij heeft betrekking op de persoonsgegevens die Consentl namens zijn klanten in beide diensten verwerkt:
- Consentl voor Shopify: de Shopify-app op
shopify.consentl.com; - Consentl voor websites: het dashboard op
app.consentl.comen de openbare API opapi.consentl.comdie de website snippet en de plugins voor platforms aanroepen.
Die gegevens zijn de toestemmingsregistraties, privacyverzoeken en herroepingen van bezoekers van winkels en websites en de e-mails die aan hen worden verzonden. Dezelfde aanbieders verwerken ook de gegevens waarvoor wij de verwerkingsverantwoordelijke zijn (klantaccounts, facturering, ondersteuning, logbestanden); dat wordt beschreven in onze privacyverklaringen.
Versie 3 · Van kracht vanaf: 2026-10-23
Dit is een vertaling. Voor zakelijke klanten gaat de Engelse versie voor. Voor consumenten met gewone verblijfplaats in een land waar het Nederlands een officiële taal is, is deze versie gelijkelijk authentiek met de Engelse versie; als de twee versies verschillen, geldt de betekenis die voor de consument het gunstigst is. Voor andere consumenten gaat de Engelse versie voor, tenzij het dwingende consumentenrecht van hun land anders bepaalt.
Huidige subverwerkers
| # | Subverwerker (entiteit, zetel) | Gebruikt voor | Dienst en verwerking | Betrokken gegevens | Locatie van de verwerking | Waarborg voor doorgifte |
|---|---|---|---|---|---|---|
| 1 | DigitalOcean, LLC, New York, VS | Shopify en websites | Hosting: App Platform (webapplicaties, scannerworker, pre-deploy-taken), Managed PostgreSQL-databases, automatische databaseback-ups, runtimelogs | Alle gegevens in de Consentl-databases (Bijlage I bij de DPA) en metagegevens van verzoeken in logbestanden | Frankfurt, Duitsland (App Platform-regio fra, databasecluster in fra1) |
Opgeslagen gegevens in de EU. Toegang op afstand vanuit derde landen (ondersteuning, beheer) op grond van de verwerkersovereenkomst van DigitalOcean, waarin de standaardcontractbepalingen van de EU (2021/914) en het UK Addendum zijn opgenomen. |
| 2 | Cloudflare, Inc., San Francisco, VS, ingeschakeld door DigitalOcean (subverwerker van DigitalOcean) | Shopify en websites | De edge van App Platform: TLS-terminatie, contentlevering, bescherming tegen DDoS en bots voor elk verzoek aan shopify.consentl.com, app.consentl.com, api.consentl.com, consentl.com en hun staginghosts. Cloudflare kan op deze hosts de beveiligingscookie __cf_bm (30 minuten) plaatsen. De landbepaling van Consentl voor de banner draait op de eigen servers van Consentl (lokale DB-IP Lite-database), niet bij Cloudflare. |
IP-adressen van bezoekers en klanten, metagegevens van verzoeken, inhoud van verzoeken tijdens het transport (toestemmingsbeacons, verzonden formulieren) | Wereldwijd edge-netwerk (het datacenter dat zich het dichtst bij de aanvrager bevindt); de inhoud van verzoeken wordt niet opgeslagen | De standaardcontractbepalingen die DigitalOcean met Cloudflare sluit op grond van de verwerkersovereenkomst van DigitalOcean. |
| 3 | Brevo SAS (voorheen Sendinblue SAS), 106 boulevard Haussmann, 75008 Parijs, Frankrijk | Shopify en websites | Transactionele e-mail via de Brevo-API: verificatie en bevestiging van privacyverzoeken, ontvangstbevestigingen van herroepingen (aan klanten van winkels en bezoekers); meldingen, scanrapporten en account- en factureringsmails (aan klanten) | E-mailadres en naam van de ontvanger, inhoud van de e-mail (kan ordernummers, het type verzoek en het bericht van de aanvrager bevatten), gebeurtenissen van aflevering, bounces en klachten (tracking van openen en klikken geanonimiseerd) | Europese Unie | Aanbieder in de EU; geen doorgifte door Consentl. Eigen subverwerkers van Brevo: zie de door Brevo gepubliceerde lijst. Tracking van openen en klikken is geanonimiseerd: er worden geen betrokkenheidsgegevens aan de ontvanger gekoppeld. |
| 4 | Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Genève, Zwitserland | Shopify en websites | E-mailhosting van de consentl.com-mailboxen [email protected] (ondersteuning) en [email protected] (gegevensbescherming; ook de afzender van onze transactionele e-mails): correspondentie over ondersteuning en privacy, verzoeken die klanten aan ons doorsturen, antwoorden, bounces en automatische antwoorden op onze e-mails | E-mailadressen, namen en berichten van klanten, van klanten van winkels en bezoekers die op onze e-mails antwoorden, en van klanten van winkels en bezoekers wier verzoeken klanten doorsturen | Zwitserland | Adequaatheidsbesluit van de Europese Commissie voor Zwitserland (2000/518/EG). In gebruik sinds 2026-10-22 (beide mailboxen actief). |
Geen subverwerkers (voor de transparantie)
| Partij | Gebruikt voor | Waarom het geen subverwerker is |
|---|---|---|
| Shopify (Shopify International Limited, Dublin, Ierland; Shopify Inc., Ottawa, Canada) | Shopify | Het platform waarop de handelaar de winkel exploiteert en de app installeert. Shopify verwerkt winkelgegevens op grond van een eigen overeenkomst met de handelaar, stuurt app-proxyverzoeken en webhooks door, host de storefrontscripts op zijn CDN en factureert de app. Op instructie van de handelaar geven wij gegevens door aan Shopify als het eigen platform van de handelaar (opt-outs van verkoop of delen, doorgestuurde verzoeken om gegevenswissing, de gepubliceerde bannerconfiguratie); wij schakelen Shopify niet in om namens ons gegevens te verwerken. |
| Websiteplatforms (WordPress, Shopware, PrestaShop, Magento, websitebouwers, Google Tag Manager) | Websites | Het eigen platform van de klant. Onze plugins en sjablonen draaien daar en slaan geen bezoekersgegevens op; wij schakelen het platform niet in. |
| Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Ierland) | Websites (facturering) | Verwerkt de facturerings- en betalingsgegevens van onze klanten (e-mailadres van het account, naam, betalingsgegevens, factuuradres, fiscaal identificatienummer) voor ons en, voor fraudepreventie en haar wettelijke toezichtsverplichtingen, als zelfstandige verwerkingsverantwoordelijke. Stripe ontvangt geen bezoekersgegevens. Beschreven in de privacyverklaring voor websites. |
| DB-IP (db-ip.com) | Websites | Uitgever van de landendatabase DB-IP Lite (CC BY 4.0). Een kopie is in onze servers ingebouwd en de landbepaling vindt daar plaats, in het geheugen; DB-IP ontvangt geen gegevens van ons. |
| Google (Google Ireland Limited, Dublin, Ierland; Google LLC, VS) | Alleen onze eigen website consentl.com | Google Analytics 4 draait alleen op consentl.com en alleen nadat de bezoeker analytische cookies heeft geaccepteerd. Google verwerkt gegevens van de bezoekers van onze website als onze verwerker; het ontvangt nooit gegevens van de winkels, websites of bezoekers van onze klanten. Beschreven in de privacyverklaring van de website. |
| GitHub, Inc., San Francisco, VS | Ontwikkeling | Host de broncode en CI. Er worden geen persoonsgegevens uit de productieomgeving geplaatst in de repository, issues, pull requests, CI-logs, testfixtures of schermafbeeldingen. |
| AI-programmeerassistenten (bijvoorbeeld Claude van Anthropic PBC, VS) | Ontwikkeling | Door ons personeel alleen gebruikt voor broncode en testgegevens; zij krijgen geen toegang tot productiedatabases, productielogs of persoonsgegevens van klanten. Als een AI-hulpmiddel ooit toegang krijgt tot productiegegevens of -logs, wordt de aanbieder ervan eerst, met een aankondiging van 30 dagen vooraf, aan de bovenstaande tabel toegevoegd. |
Procedure voor kennisgeving van wijzigingen
- Voorafgaande kennisgeving. Ten minste 30 dagen voordat een nieuwe subverwerker begint met het
verwerken van persoonsgegevens van klanten (of een bestaande subverwerker wordt gebruikt voor een nieuw
doel of op een nieuwe locatie):
- voegen wij een vermelding toe aan het onderstaande wijzigingslogboek met de geplande datum van inwerkingtreding;
- sturen wij een e-mail naar het Kennisgevingsadres van elke klant: voor Shopify, het privacycontact dat de handelaar in de app heeft ingesteld of, als dat er niet is, het e-mailadres van de eigenaar van de winkel; voor websites, het kennisgevingsadres dat op de pagina “Account” is ingesteld of, als er geen is bevestigd, de accounteigenaren en beheerders. Onderwerp: “Consentl: planned sub-processor change” (“Consentl: geplande wijziging van subverwerkers”).
- Bezwaar. De klant kan binnen de kennisgevingstermijn schriftelijk bezwaar maken via [email protected], op redelijke gronden die verband houden met gegevensbescherming. Wij antwoorden binnen 14 dagen en proberen het bezwaar op te lossen (bijvoorbeeld door de subverwerker niet voor die klant te gebruiken). Als het bezwaar niet binnen 30 dagen is opgelost, mag de klant de overeenkomst beëindigen voordat de wijziging op hem van toepassing wordt; vooruitbetaalde vergoedingen voor de ongebruikte periode worden terugbetaald (artikelen 6.3 en 6.4 van de DPA: via Shopify als terugbetaling of app-tegoed, of via Stripe).
- Vervanging in noodgevallen. Als een subverwerker dringend moet worden vervangen (beveiligingsincident, insolventie, beëindiging door de subverwerker), mogen wij de wijziging met een kortere termijn doorvoeren en informeren wij klanten zo spoedig mogelijk. Het recht van bezwaar blijft van toepassing, en een terugbetaling wordt berekend vanaf de datum van de wijziging.
- Andere adressen. Klanten die kennisgevingen op een ander adres willen ontvangen, kunnen dit melden via [email protected].
Wijzigingslogboek
| Datum | Wijziging | Kennisgeving verzonden | Van kracht |
|---|---|---|---|
| 2026-10-20 | Eerste lijst (DigitalOcean, Cloudflare via DigitalOcean, Brevo). | — (vóór de lancering) | bij de lancering |
| 2026-10-21 | Versie 2: de lijst omvat ook Consentl voor websites; vermelding van Cloudflare gecorrigeerd (rol, hosts, geen landbepaling); naam van de entiteit Brevo bijgewerkt; Proton AG toegevoegd voor de consentl.com-mailboxen; Stripe, Google, websiteplatforms en AI-programmeerassistenten vermeld als geen subverwerkers. | — (vóór de lancering) | bij de lancering; Proton vanaf de datum waarop de mailboxen actief worden |
| 2026-10-22 | Vermelding van Proton AG uitgebreid: Proton host beide openbare adressen, [email protected] en [email protected], met inbegrip van correspondentie over ondersteuning en verzoeken die klanten doorsturen. Er wordt geen andere mailboxaanbieder gebruikt. | — (vóór de lancering) | 2026-10-22 (mailboxen actief) |
| 2026-10-22 | Controle vóór publicatie: vermelding van Cloudflare bijgewerkt (botbescherming en de cookie __cf_bm, host consentl.com; de landbepaling draait op onze eigen servers met de DB-IP Lite-database); DB-IP vermeld als geen subverwerker; Stripe in live-modus, contracterende entiteit Stripe Payments Europe, Limited; de ontvangers van kennisgevingen volgen de instellingen voor het kennisgevingsadres van beide diensten. |
— (vóór de lancering) | bij de lancering |
| 2026-10-23 | Versie 3, eerste gepubliceerde versie: de lijst zoals hierboven, met de bevestigingen van de eigenaar (AI-programmeerassistenten ontvangen nooit productiegegevens of -logs; Brevo met geanonimiseerde tracking van openen en klikken). Geen nieuwe subverwerker. | — (eerste publicatie) | 2026-10-23 |
Bron: docs/legal/nl/SUBPROCESSORS.md in de Consentl-repository.