Subverwerkers en ontvangers

Verwerkt Ekoon persoonsgegevens in opdracht van een klant, dan is Ekoon verwerker en de klant verwerkingsverantwoordelijke (art. 28 AVG). De partijen die Ekoon daarbij inschakelt, zijn subverwerkers. De klant gaf daarvoor in de verwerkersovereenkomst een algemene schriftelijke toestemming (art. 28.2 AVG); deze lijst toont wie dat is.

Een subverwerker wordt alleen ingezet voor de diensten die hem nodig hebben. Zo gaan gegevens van een klant alleen naar een AI-leverancier als die klant een AI-toepassing of AI-functie bij ons afneemt.

Leveranciers met wie een klant zelf een overeenkomst heeft, zoals Microsoft voor de Microsoft 365-omgeving van de klant of de eigen hostingprovider van de klant, zijn geen subverwerkers van Ekoon. We werken in die omgevingen op instructie van de klant.

Ekoon legt elke subverwerker bij overeenkomst dezelfde verplichtingen inzake gegevensbescherming op als in onze verwerkersovereenkomst, en blijft tegenover de klant aansprakelijk voor hun nakoming (art. 28.4 AVG). Bij grote cloud- en AI-leveranciers gebeurt dat via hun standaard verwerkersvoorwaarden.

Voor elke subverwerker houden we de juridische entiteit, het adres en een contactpunt bij. Klanten krijgen op verzoek ook de verwerkersvoorwaarden en de lijst van verdere subverwerkers van een leverancier (EDPB-advies 22/2024).

De gegevens in deze tabel zijn nagegaan bij de leveranciers zelf; de certificering onder het Data Privacy Framework op de officiële lijst (dataprivacyframework.gov).

Welke AI-leverancier een toepassing gebruikt, staat in de offerte of de AI-systeemfiche van het project. Voor gevoelige gegevens vragen we zero data retention aan waar de leverancier dat toelaat. We beloven geen opslag of verwerking in de EU bij een AI-leverancier die dat niet biedt.

Een leverancier voor support op afstand, een wachtwoordmanager met een aparte kluis per klant of een automatisatieplatform komt pas op deze lijst als we hem voor klantgegevens in gebruik nemen, na de kennisgeving van artikel 6.

Onze leveranciers schakelen zelf ook subverwerkers in, zoals datacenters. Ze publiceren hun lijsten:

• Supabase: supabase.com/legal/customer-resources/subprocessor-list
• Vercel: security.vercel.com
• Microsoft: via het Microsoft Service Trust Portal (servicetrust.microsoft.com)
• Resend: resend.com/legal/subprocessors
• Backblaze: backblaze.com/company/policy/subprocessors
• GitHub: docs.github.com/en/site-policy/privacy-policies/github-subprocessors
• Anthropic: trust.anthropic.com/subprocessors
• OpenAI: platform.openai.com/subprocessors

Klanten krijgen op verzoek een overzicht van die lijsten op een bepaalde datum.

Voor haar eigen werking, zoals de website, het klantbeheer, de facturatie en de boekhouding, is Ekoon zelf verwerkingsverantwoordelijke. Dan werken de leveranciers uit artikel 2 als verwerker van Ekoon. Daarnaast komen gegevens bij deze partijen terecht:

Ekoon gebruikt geen CRM- of marketingplatform van derden en verkoopt of verhuurt geen gegevens.

Een leverancier komt alleen op deze lijst als:

• er een verwerkersovereenkomst is die minstens de verplichtingen van art. 28.3 AVG bevat;
• de datalocatie en de grondslag voor doorgifte gekend zijn, met voorkeur voor opslag in de EU;
• de leverancier de gegevens niet gebruikt om eigen modellen of diensten te trainen;
• de leverancier passende beveiliging aantoont, bijvoorbeeld met een ISO/IEC 27001-certificaat of een SOC 2-rapport;
• tweestapsverificatie en een eigen account per gebruiker mogelijk zijn;
• de bewaring bij de leverancier gekend is en zo kort mogelijk.

We controleren deze lijst minstens één keer per jaar en bij elke nieuwe dienst. De certificering onder het Data Privacy Framework controleren we ook na elke vervaldatum op de officiële lijst. Valt het Framework weg, dan blijven de standaardcontractbepalingen gelden.

Het Data Privacy Framework is geldig. Tegen het arrest dat het bevestigde, loopt een hogere voorziening bij het Hof van Justitie, en de Europese gegevensbeschermingsautoriteiten vroegen de Commissie het opnieuw te onderzoeken. Daarom steunen we nooit alleen op het Framework.

Klanten met een verwerkersovereenkomst krijgen minstens 30 dagen vooraf bericht van elke voorgenomen toevoeging of vervanging van een subverwerker, en van elke wijziging van de locatie of de doorgiftegrondslag van een bestaande subverwerker. Het bericht vermeldt de naam, het adres, de dienst, de locatie, de doorgiftegrondslag en de datum waarop de wijziging ingaat. We sturen het per e-mail aan de beheerders van de klant en tonen het in het klantportaal.

De klant kan binnen die termijn schriftelijk en gemotiveerd bezwaar maken op redelijke gronden die met gegevensbescherming te maken hebben, per e-mail of met de knop in het klantportaal. We zoeken dan te goeder trouw een oplossing, zoals een andere configuratie of een andere subverwerker. Zolang het bezwaar loopt, gebruiken we de nieuwe subverwerker niet voor de gegevens van die klant, voor zover dat technisch kan; kan dat niet, dan staat dat al in het bericht.

Vinden we binnen 30 dagen na het bezwaar geen oplossing, dan kan de klant de betrokken dienst schriftelijk opzeggen zonder vergoeding. We betalen vooruitbetaalde bedragen voor de periode na de opzegging terug.

Moeten we een subverwerker dringend vervangen om redenen buiten onze wil, zoals de stopzetting van een dienst of een beveiligingsprobleem, dan kan het bericht korter vooraf komen. We melden de vervanging dan zo snel mogelijk; het bezwaarrecht blijft gelden.

Een freelancer die klantgegevens zal verwerken of er toegang toe krijgt, melden we vooraf aan de klant, met naam, ondernemingsnummer, taak en het land van waaruit hij werkt: minstens 5 werkdagen vóór de toegang, of bij een dringende interventie zo snel mogelijk en uiterlijk bij de start.

Vragen over deze lijst, of de verwerkersvoorwaarden van een leverancier opvragen: privacy@ekoonict.be. Over uw eigen persoonsgegevens: zie onze privacyverklaring op www.ekoonict.be/privacy.