Sub-verwerkers

Sub-verwerkers Noveu Solutions

Versie: 1.8.3 Laatst bijgewerkt: 23 oktober 2026 Context: Dit overzicht hoort bij Bijlage 2 van de Verwerkersovereenkomst (DPA) en vormt een verplichte AVG-transparantie-publicatie (art. 28 lid 2 AVG).

Noveu Solutions schakelt voor de uitvoering van haar diensten een beperkt aantal sub-verwerkers in. Wijzigingen worden minimaal 30 dagen vooraf aangekondigd, zodat Opdrachtgevers gemotiveerd bezwaar kunnen maken conform artikel 6 van de DPA. Deze pagina is het actuele, publiek raadpleegbare overzicht.

Aankondiging wijziging sub-verwerker (DPA art. 6.3)

Aangekondigd op: 31 augustus 2026 Einde bezwaartermijn: 31 oktober 2026 (verlengd; eerder 30 september 2026)

Wat verandert er. De AI-sub-verwerker voor taalmodel-generatie is Mistral AI SAS (Parijs, Frankrijk), met verwerking binnen de EU. Daarmee vervalt Google LLC (Gemini API, Verenigde Staten) als AI-sub-verwerker.

Waarom deze aankondiging met terugwerkende kracht. De technische omschakeling naar Mistral heeft op 29 augustus 2026 plaatsgevonden; Google is sindsdien niet meer als AI-verwerker in gebruik. De aankondiging van artikel 6.3 had daaraan vooraf moeten gaan en is dat niet. Wij herstellen dat hier expliciet in plaats van het stil te corrigeren: de omschakeling was op 29 augustus 2026 en de aankondiging volgde pas op 31 augustus 2026. De bezwaartermijn liep eerst tot en met 30 september 2026 en is verlengd tot en met 31 oktober 2026.

Wat dit voor u betekent.

• Het is een vervanging, geen uitbreiding: Mistral neemt de rol van Google over en het totaal bleef toen vijf sub-verwerkers. De AI-verwerking verhuist daarmee van buiten naar binnen de EER. Sinds 21 oktober 2026 zijn het er vier (zie de wijziging van versie 1.8.1).
• Wilt u bezwaar maken, dan kan dat tot en met 31 oktober 2026 via privacy@noveu.eu. De procedure staat in artikel 6.4 van de DPA en verderop op deze pagina.

Overzicht actuele sub-verwerkers

Toelichting per sub-verwerker

1. Hetzner Online GmbH (primaire hosting)

• Rol: kernleverancier van compute, storage en netwerkcapaciteit.
• Locatie: productie en back-ups staan in het Hetzner-datacenter in Falkenstein (Duitsland). Back-ups worden sinds 30 september 2026 versleuteld opgeslagen. De schijven zelf zijn nog niet versleuteld; een datum daarvoor geven we nog niet.
• Architectuur: eigen dedicated hardware onder Proxmox VE; geen multi-tenant hyperscaler.
• Waarborgen: Duitse AVG-jurisdictie, ISO 27001-gecertificeerd datacenter, Hetzner DPA toegepast.

2. Cloudflare, Inc.

• Rol: edge-netwerk vóór het platform: CDN, DDoS-mitigatie, WAF, DNS en Cloudflare Tunnel.
• Inbound-architectuur: het HTTP/HTTPS-verkeer van het platform loopt via Cloudflare Tunnel, waardoor de origin-IP's van de webdiensten afgeschermd blijven. Mailverkeer (de protocollen SMTP, IMAP en JMAP) en realtime-communicatie (STUN en TURN) lopen niet via Cloudflare, maar rechtstreeks naar de eigen server bij Hetzner in Falkenstein; Cloudflare verzorgt voor die diensten alleen de DNS.
• Waarborgen: EU-VS Data Privacy Framework, Standard Contractual Clauses (SCC's) en de Cloudflare Data Processing Addendum.

3. Stripe Payments Europe Ltd.

• Rol: betalingsverwerking voor zakelijke abonnementen (kaarten, iDEAL, SEPA).
• Locatie: EU, verwerking via Stripe's Ierse entiteit binnen de EER.
• Waarborgen: Stripe DPA, PCI-DSS Level 1, AVG-conforme verwerking.

4. Mistral AI SAS (AI, alleen na activering, alleen LLM)

• Rol: LLM-provider voor Noveu AI-functionaliteit. De productie-AI gebruikt sinds 29 augustus 2026 de Mistral-API uitsluitend voor tekstgeneratie.
• Vestiging en verwerkingslocatie: Mistral AI SAS is een Franse vennootschap. Noveu spreekt de EU-API van Mistral aan (api.mistral.ai), waarmee de verwerking binnen de EU blijft. Voor deze sub-verwerker berust de doorgifte dus niet op het EU-VS Data Privacy Framework of op Standard Contractual Clauses, zoals dat bij de vorige AI-verwerker wel het geval was.
• Embeddings on-premise: de embeddings (vectorisatie) voor AI-kennisophaling gaan niet naar Mistral. Deze draaien sinds juni 2026 op onze eigen infrastructuur (BAAI bge-m3 via zelf-gehoste Text-Embeddings-Inference op vm-platform). De (gepseudonimiseerde) tekst verlaat onze infrastructuur niet.
• Activering: uitsluitend ingezet indien Opdrachtgever AI-functies expliciet activeert per feature of gebruiker. Zonder activering wordt er geen content naar Mistral verstuurd.
• Verwerking: alleen de content die de gebruiker aan de AI-functie aanbiedt wordt naar de Mistral-API gestuurd. Deze betalende API-laag wordt niet gebruikt om Mistral-modellen te trainen.
• Waarborgen: AVG-verwerking binnen de EU, Mistral Data Processing Agreement, aanvullende data-minimisatie en pseudonimisatie in de Noveu AI-gateway.

Zelf-gehoste infrastructuur (geen aparte sub-verwerker)

De volgende componenten draaien op onze eigen infrastructuur (Hetzner Dedicated, EU). Het zijn geen zelfstandige sub-verwerkers; de verwerking valt onder Hetzner (nr. 1 hierboven).

• pgvector (vectoropslag voor AI-kennisophaling / embeddings), een zelf-gehoste PostgreSQL-extensie op onze eigen infrastructuur; er is geen externe/third-party vector-database.
• AI-embeddings, on-premise (BAAI bge-m3 via zelf-gehoste Text-Embeddings-Inference op vm-platform), de vectoren voor AI-kennisophaling worden lokaal gegenereerd; de (gepseudonimiseerde) tekst verlaat onze infrastructuur niet en er wordt geen externe embedding-API gebruikt.
• LiveKit (beeld en geluid voor vergaderingen in Noveu Meet), een zelf-gehoste server op onze eigen server bij Hetzner in Falkenstein; beeld en geluid gaan alleen live tussen de deelnemers en er wordt niets opgenomen.
• coturn (STUN/TURN), een zelf-gehoste relayserver op dezelfde infrastructuur. Hij helpt de verbinding van deelnemers op te zetten en kan beeld en geluid doorgeven; hij slaat beeld en geluid niet op. Zijn foutregels kunnen het IP-adres en de poort van een deelnemer bevatten. Die bewaren wij hoogstens 15 dagen; een archief met de foutregels tot en met 22 oktober 2026 bewaren wij tot uiterlijk 19 november 2026.

Uitgefaseerde sub-verwerkers

De Gemini-koppeling zit als ongebruikt codepad nog in de AI-dienst en wordt in een aparte wijziging verwijderd. Er is geen configuratie waarin dat pad in productie wordt aangesproken; het staat hier vermeld omdat "verwijderd uit de configuratie" en "verwijderd uit de broncode" niet hetzelfde zijn en wij dat verschil niet willen wegpoetsen.

Voorgenomen wijzigingen

Op dit moment staan er geen verdere wijzigingen in de sub-verwerkerslijst gepland. De lopende wijziging (Google naar Mistral) staat bovenaan deze pagina.

Voorgenomen toevoegingen of vervangingen worden hier gepubliceerd, met daarbij:

• de naam, vestiging en verwerkingslocatie van de (nieuwe) sub-verwerker;
• het doel en de categorieën persoonsgegevens;
• de beoogde ingangsdatum (minimaal 30 dagen na aankondiging);
• de waarborgen (DPA, SCC's, certificeringen).

Bezwaar maken tegen een sub-verwerker

Opdrachtgevers kunnen binnen 30 dagen na aankondiging gemotiveerd bezwaar maken tegen een voorgenomen wijziging. Leidt overleg niet binnen 14 dagen tot overeenstemming, dan mag Opdrachtgever de Hoofdovereenkomst opzeggen met 30 dagen opzegtermijn, zonder schadevergoeding (DPA art. 6.4).

Bezwaar indienen: privacy@noveu.eu of via het customer portal.

Changelog

Contact

• Privacy / AVG: privacy@noveu.eu
• Juridisch: legal@noveu.eu
• Algemene DPA: /juridisch/verwerkersovereenkomst
• Algemene Voorwaarden: /juridisch/algemene-voorwaarden