Sub-verwerkers

Sub-verwerkers Noveu Solutions

Versie: 1.2 Laatst bijgewerkt: 31 augustus 2026 Context: Dit overzicht hoort bij Bijlage 2 van de Verwerkersovereenkomst (DPA) en vormt een verplichte AVG-transparantie-publicatie (art. 28 lid 2 AVG).

Noveu Solutions schakelt voor de uitvoering van haar diensten een beperkt aantal sub-verwerkers in. Wijzigingen worden minimaal 30 dagen vooraf aangekondigd, zodat Opdrachtgevers gemotiveerd bezwaar kunnen maken conform artikel 6 van de DPA. Deze pagina is het actuele, publiek raadpleegbare overzicht.

Aankondiging wijziging sub-verwerker (DPA art. 6.3)

Aangekondigd op: 31 augustus 2026 Einde bezwaartermijn: 30 september 2026 (30 dagen na aankondiging)

Wat verandert er. De AI-sub-verwerker voor taalmodel-generatie is Mistral AI SAS (Parijs, Frankrijk), met verwerking binnen de EU. Daarmee vervalt Google LLC (Gemini API, Verenigde Staten) als AI-sub-verwerker.

Waarom deze aankondiging met terugwerkende kracht. De technische omschakeling naar Mistral heeft op 29 augustus 2026 plaatsgevonden; Google is sindsdien niet meer als AI-verwerker in gebruik. De aankondiging van artikel 6.3 had daaraan vooraf moeten gaan en is dat niet. Wij herstellen dat hier expliciet in plaats van het stil te corrigeren: de wijziging is doorgevoerd, de aankondiging staat vanaf 31 augustus 2026 gepubliceerd, en de bezwaartermijn van 30 dagen loopt vanaf die publicatiedatum.

Wat dit voor u betekent.

• Het is een vervanging, geen uitbreiding: Mistral neemt de rol van Google over en het totaal blijft vijf sub-verwerkers. De AI-verwerking verhuist daarmee van buiten naar binnen de EER.
• Wilt u bezwaar maken, dan kan dat tot en met 30 september 2026 via [email protected]. De procedure staat in artikel 6.4 van de DPA en verderop op deze pagina.
• Bent u vandaag klant en heeft u AI-functies geactiveerd, dan ontvangt u deze aankondiging ook per e-mail zodra de notificatieroute daarvoor operationeel is. Tot die tijd is deze pagina de formele publicatie.

Overzicht actuele sub-verwerkers

Toelichting per sub-verwerker

1. Hetzner Online GmbH (primaire hosting)

• Rol: kernleverancier van compute, storage en netwerkcapaciteit.
• Locaties: primaire productie in Falkenstein (Duitsland); versleutelde offsite back-ups op Hetzner Storage Box in Helsinki (Finland).
• Architectuur: eigen dedicated hardware onder Proxmox VE; geen multi-tenant hyperscaler.
• Waarborgen: Duitse AVG-jurisdictie, ISO 27001-gecertificeerd datacenter, Hetzner DPA toegepast.

2. Cloudflare, Inc.

• Rol: edge-netwerk vóór het platform: CDN, DDoS-mitigatie, WAF, DNS en Cloudflare Tunnel.
• Inbound-architectuur: het HTTP/HTTPS-verkeer van het platform loopt via Cloudflare Tunnel, waardoor de origin-IP's van de webdiensten afgeschermd blijven. Mail (SMTP/IMAP/JMAP) en realtime-communicatie (STUN/TURN) hebben wél directe, gehardende poorten op de eigen infrastructuur.
• Waarborgen: EU-VS Data Privacy Framework, Standard Contractual Clauses (SCC's), Cloudflare Data Processing Addendum, EU-routering voor metadata.

3. Stripe Payments Europe Ltd.

• Rol: betalingsverwerking voor zakelijke abonnementen (kaarten, SEPA).
• Locatie: EU, verwerking via Stripe's Ierse entiteit binnen de EER.
• Waarborgen: Stripe DPA, PCI-DSS Level 1, AVG-conforme verwerking.

4. Mollie B.V.

• Rol: Nederlandse betaaldienstverlener voor iDEAL, SEPA en kaartbetalingen.
• Locatie: Amsterdam, Nederland, alle verwerking binnen Nederland.
• Waarborgen: Mollie DPA, AVG-conforme verwerking onder Nederlands toezicht (DNB).

5. Mistral AI SAS (AI, alleen na activering, alleen LLM)

• Rol: LLM-provider voor Noveu AI-functionaliteit. De productie-AI gebruikt sinds 29 augustus 2026 de Mistral-API uitsluitend voor tekstgeneratie.
• Vestiging en verwerkingslocatie: Mistral AI SAS is een Franse vennootschap. Noveu spreekt de EU-API van Mistral aan (api.mistral.ai), waarmee de verwerking binnen de EU blijft. Voor deze sub-verwerker berust de doorgifte dus niet op het EU-VS Data Privacy Framework of op Standard Contractual Clauses, zoals dat bij de vorige AI-verwerker wel het geval was.
• Embeddings on-premise: de embeddings (vectorisatie) voor AI-kennisophaling gaan niet naar Mistral. Deze draaien sinds juni 2026 op onze eigen infrastructuur (BAAI bge-m3 via zelf-gehoste Text-Embeddings-Inference op vm-platform). De (gepseudonimiseerde) tekst verlaat onze infrastructuur niet.
• Activering: uitsluitend ingezet indien Opdrachtgever AI-functies expliciet activeert per feature of gebruiker. Zonder activering wordt er geen content naar Mistral verstuurd.
• Verwerking: alleen de content die de gebruiker aan de AI-functie aanbiedt wordt naar de Mistral-API gestuurd. Deze betalende API-laag wordt niet gebruikt om Mistral-modellen te trainen.
• Waarborgen: AVG-verwerking binnen de EU, Mistral Data Processing Agreement, aanvullende data-minimisatie en pseudonimisatie in de Noveu AI-gateway.

Zelf-gehoste infrastructuur (geen aparte sub-verwerker)

De volgende componenten draaien op onze eigen infrastructuur (Hetzner Dedicated, EU). Het zijn geen zelfstandige sub-verwerkers; de verwerking valt onder Hetzner (nr. 1 hierboven).

• pgvector (vectoropslag voor AI-kennisophaling / embeddings), een zelf-gehoste PostgreSQL-extensie op onze eigen infrastructuur; er is geen externe/third-party vector-database.
• AI-embeddings, on-premise (BAAI bge-m3 via zelf-gehoste Text-Embeddings-Inference op vm-platform), de vectoren voor AI-kennisophaling worden lokaal gegenereerd; de (gepseudonimiseerde) tekst verlaat onze infrastructuur niet en er wordt geen externe embedding-API gebruikt.

Uitgefaseerde sub-verwerkers

De Gemini-koppeling zit als ongebruikt codepad nog in de AI-dienst en wordt in een aparte wijziging verwijderd. Er is geen configuratie waarin dat pad in productie wordt aangesproken; het staat hier vermeld omdat "verwijderd uit de configuratie" en "verwijderd uit de broncode" niet hetzelfde zijn en wij dat verschil niet willen wegpoetsen.

Voorgenomen wijzigingen

Op dit moment staan er geen verdere wijzigingen in de sub-verwerkerslijst gepland. De lopende wijziging (Google naar Mistral) staat bovenaan deze pagina.

Voorgenomen toevoegingen of vervangingen worden hier gepubliceerd, met daarbij:

• de naam, vestiging en verwerkingslocatie van de (nieuwe) sub-verwerker;
• het doel en de categorieën persoonsgegevens;
• de beoogde ingangsdatum (minimaal 30 dagen na aankondiging);
• de waarborgen (DPA, SCC's, certificeringen).

Bezwaar maken tegen een sub-verwerker

Opdrachtgevers kunnen binnen 30 dagen na aankondiging gemotiveerd bezwaar maken tegen een voorgenomen wijziging. Leidt overleg niet binnen 14 dagen tot overeenstemming, dan mag Opdrachtgever de Hoofdovereenkomst opzeggen met 30 dagen opzegtermijn, zonder schadevergoeding (DPA art. 6.4).

Bezwaar indienen: [email protected] of via het customer portal.

Changelog

Contact

• Privacy / AVG: [email protected]
• Juridisch: [email protected]
• Algemene DPA: /juridisch/verwerkersovereenkomst
• Algemene Voorwaarden: /juridisch/algemene-voorwaarden