Waarom deze pagina er is
De Data Act verplicht een aanbieder van een clouddienst om te publiceren in welke jurisdictie zijn ICT-infrastructuur staat, en welke maatregelen hij neemt tegen toegang of overdracht door een overheid buiten de EU tot niet-persoonsgegevens, als dat in strijd zou komen met het Unierecht of het recht van een lidstaat (art. 28 en art. 32 Data Act, van toepassing sinds 12 september 2025). Voor persoonsgegevens gelden vergelijkbare waarborgen via de AVG; zie de verwerkersovereenkomst artikel 6, en de privacyverklaring.
Jurisdictie van de infrastructuur
| Onderdeel | Leverancier | Locatie van de data | Jurisdictie van de leverancier |
|---|---|---|---|
| Database en authenticatie | Supabase | Frankfurt, Duitsland (regio eu-central-1). Hier staan ook de sleutels van eigen AI-koppelingen (Supabase Vault), versleuteld door Supabase | Supabase Pte. Ltd. (Singapore), onderdeel van het Amerikaanse Supabase-concern; DPA versie 1, 1 augustus 2026; Singapore heeft geen adequaatheidsbesluit: SCC's module 3 (verwerker naar subverwerker), Iers recht (Supabase DPA, Schedule 2). Supabase staat niet op de DPF-lijst (gecontroleerd 2026-10-10); de doorgifte rust op de SCC's. Zie "Wat hier niet in staat". |
| Inloggen met een identiteitsprovider (optioneel, door de gebruiker gekozen) | Microsoft (Entra ID, alleen werk- en schoolaccounts) en Google | Bepalen de providers zelf; Norwin kan dat niet sturen en belooft geen verwerking uitsluitend in de EU. Norwin slaat alleen op: de naam van de provider, de vaste account-ID bij de provider, het e-mailadres, de naam en, bij Microsoft, het ID van de organisatie (tenant). Andere gegevens die de provider meestuurt, bewaart Norwin niet. Die gegevens slaat Norwin op bij Supabase in Frankfurt. Er gaat geen klantdata naar de provider en Norwin bewaart geen profielfoto en geen token van de provider | Amerikaanse bedrijven (VS). Zelfstandig verantwoordelijk voor het inloggen bij het eigen account van de gebruiker; geen subverwerker van Norwin (verwerkersovereenkomst, Bijlage 3, "Identiteitsproviders") |
| Uitvoering van de applicatie | Vercel | Uitvoering in Frankfurt (regio fra1). Verkeer loopt via het wereldwijde netwerk van Vercel, en Vercel kan verwerking uitvoeren in de VS en elders. Het platform slaat zelf geen klantdata op bij Vercel; daar komen alleen de request-inhoud tijdens de uitvoering, logs en configuratie. Gebruiksdata zoals IP-adressen in logs verwerkt Vercel deels als zelfstandig verantwoordelijke, onder zijn eigen privacyverklaring | Vercel Inc. (Delaware, VS), Pro-plan; gecertificeerd onder het DPF, SCC's (module 3, Iers recht) als terugval |
| Chat met de AI van Norwin (alleen als de Admin dit inschakelt en een Gebruiker die AI voor het gesprek kiest) | Amazon Web Services (Amazon Bedrock) | Aanvragen gaan vanuit Frankfurt naar een Europees inferentieprofiel; AWS kan ze binnen de EU naar een andere regio sturen. Geen regio buiten de EU. Alleen modellen waarvoor AWS geen invoer of uitvoer bewaart: Claude Haiku 4.5. Dit is de actuele modelnaam; een wijziging van het model wordt 30 dagen vooraf aangekondigd (Bijlage 4, artikel 4.4). Het organisatieprofiel, de persoonlijke instructies en de gekozen kansen en projecten gaan als context mee naar het model. Het platform slaat profiel en instructies op in Frankfurt (Supabase). Het gesprek zelf slaat het platform ook op in Frankfurt (Supabase), zolang de workspace bestaat of tot de gebruiker het verwijdert | Amazon Web Services EMEA SARL (Luxemburg), onderdeel van het Amerikaanse Amazon-concern. AWS GDPR DPA, versie 14 augustus 2026; Amazon.com, Inc. is DPF-gecertificeerd (gecontroleerd op 5 oktober 2026), SCC's in de DPA. Toegang op grond van Amerikaans recht (CLOUD Act, FISA 702) is niet uitgesloten, ook bij verwerking in de EU |
| Eigen AI-koppeling van de klant (alleen als de admin die toevoegt) | Gekozen door de klant: Azure OpenAI, OpenAI, Amazon Bedrock in het eigen AWS-account, Google Vertex AI of Mistral AI | Alleen een Europees eindpunt (regio- en hostcontrole bij opslaan én bij elke aanroep); bewaring en logging volgens de overeenkomst klant–aanbieder | Verwerker van de klant, geen subverwerker van Norwin. Een Amerikaanse aanbieder of moeder kan op grond van Amerikaans recht gegevens moeten verstrekken; dat is de keuze en het risico van de klant |
| (a) Uitvoeren van de gelogde procedure voor inzage- en verwijderverzoeken over chatinhoud (verwerkersovereenkomst artikel 7) | GitHub | VS. GitHub verwerkt in de VS, en volgens zijn subverwerkerslijst hostet Microsoft Azure (VS) de infrastructuur. Bij GitHub staat alleen één versleuteld bestand (verloopt na één dag, retention-days: 1) en de metadata van de uitvoering (workspace-ID, ID van de betrokkene, dossiernummer, reden, staff-ID van de uitvoerder en GitHub-login van degene die de procedure start), nooit chatinhoud in leesbare vorm. De sleutel staat niet bij GitHub. De verbindingsgegevens voor de database (rol chat_dsr_runner, minimale rechten) staan als omgevingsgeheim bij GitHub. De runner in de VS verbindt met de database in Frankfurt; daar komt alleen ciphertext uit terug. Run-metadata en logs blijven 90 dagen bewaard (de standaardinstelling); Norwin kan die termijn verlagen. | GitHub, Inc. (VS); GitHub DPA, "Version: October 2025". Doorgifte op grond van DPF-zelfcertificering en/of SCC's (DPA 7.B); SCC Module Three, Nederlands recht en Nederlandse rechter (DPA 7.C.ii). Annex IV: GitHub vecht overheidsverzoeken aan, informeert de klant en vergoedt schade van betrokkenen. SOC 1 en SOC 2 Type 2, ISO 27001. Subverwerkerslijst: https://github.com/github-subprocessors-list. Alleen bij een schriftelijk verzoek of een incident |
| (b) Monitoring zonder persoonsgegevens (opruimwachtrij voor profielfoto's en bedrijfslogo's, en de uptimecheck van de publieke /api/health) | GitHub | Door GitHub gehoste runner (VS). Alleen een URL, een statuscode en drie getallen; bij de uptimecheck alleen een statuscode en een vaste statuswaarde (ok, degraded of rate_limited); geen persoonsgegevens en geen klantdata. De voorwaarden voor de uptimecheck en voor de storingsmelding staan in Bijlage 3 van de verwerkersovereenkomst (GitHub, doel (b)) | GitHub, Inc. (VS), zie hierboven |
| (c) Vervallen: CI/CD met een Supabase- en een Vercel-token (uitrol van Edge Functions, controles, beheer van de Vercel-configuratie) | Niet meer bij GitHub | Deze workflows en het accountbrede Supabase-token en teambrede Vercel-token zijn uit GitHub verwijderd en de tokens zijn ingetrokken. De uitrol van Edge Functions en de Vercel-configuratie beheert Norwin lokaal, niet via GitHub. In GitHub staat geen secret met toegang tot klantdata of hosting, behalve de databaseverbinding van doel (a) (rol chat_dsr_runner, minimale rechten, alleen versleutelde uitvoer) | — |
| Productiemigraties | Supabase (koppeling met GitHub) | Productiemigraties lopen via de Supabase-GitHub-koppeling in Frankfurt. Het databasewachtwoord (SUPABASE_DB_PASSWORD) is na de omzetting uit GitHub verwijderd en geroteerd | Supabase, zie hierboven |
| Transactionele e-mail (inloglinks, bevestigingen, uitnodigingen, documenten) | Brevo (Sendinblue SAS) | Frankrijk en Duitsland (OVH) en België (Google Cloud) | Frans bedrijf; Frans recht van toepassing op de leveringsvoorwaarden. Voor support en onderhoud werkt Brevo met groepsentiteiten in de Verenigde Staten en India, en met Cloudflare en Zendesk, die toegang van buiten de EER kunnen hebben. Zie hieronder |
| Interne melding aan ons team bij een nieuwe aanmelding (geen klantdata) | n8n (doorgifte) en Slack (ontvangst) | n8n in Duitsland; Slack in de VS. De melding bevat alleen het tijdstip, de aanmeldmethode en een link naar ons beheerscherm; geen naam of e-mailadres en geen klantdata. Bewaartermijn bij Slack 90 dagen | Slack: Salesforce (VS), op basis van standaardcontractbepalingen. n8n en Slack zijn verwerkers van Norwin voor een eigen doel, geen subverwerkers (zie de privacyverklaring) |
| Zelf gehoste captcha | ALTCHA | Draait op de eigen infrastructuur van het platform (in de EU, zie hierboven) | Geen externe partij; geen gegevensdeling |
Exact (facturatie van Norwin zelf) is geen subverwerker: er gaan geen klantdata naar toe, alleen factuurgegevens. Zie de privacyverklaring.
Klantdata worden opgeslagen in de EU. Verwerking en toegang van buiten de EER vinden plaats voor ondersteunende functies, onder de waarborgen in Bijlage 3 van de verwerkersovereenkomst. Concreet: de opslag staat in Frankfurt (Supabase) en de applicatiefuncties draaien in Frankfurt. Verkeer loopt via het wereldwijde netwerk van Vercel, en Vercel kan verwerking uitvoeren in de VS en elders. Voor inzage- en verwijderverzoeken over chatinhoud draait een procedure bij GitHub in de VS, met alleen versleutelde uitvoer. Ook monitoring zonder persoonsgegevens draait bij GitHub. De CI/CD-workflows met een Supabase- en Vercel-token en het databasewachtwoord zijn uit GitHub verwijderd (zie de tabel). Daarvoor gelden SCC's en het DPF. AI-verwerking blijft in de EU.
Welke leveranciers buiten de EER verwerken of onder een niet-EU-concern vallen
Supabase: Supabase Pte. Ltd. zit in Singapore, zonder adequaatheidsbesluit. Het moederbedrijf (Supabase Inc.) is Amerikaans.
Vercel: Amerikaans concern (Vercel Inc.).
GitHub: GitHub, Inc. (VS). Voor het chat-DSR-pad en monitoring zonder persoonsgegevens (opruimwachtrij en uptimecheck).
AWS: AWS EMEA SARL zit in Luxemburg; het concern (Amazon.com, Inc.) is Amerikaans. Alleen voor chat met AI.
Brevo (Sendinblue SAS) is een Frans bedrijf. In Brevo's eigen subverwerkerslijst staan partijen met toegang vanuit de VS: Sendinblue Inc. (VS), Cloudflare en Zendesk. Brevo CRM Solutions (India) zit buiten de EER.
AI-aanbieders die de klant zelf koos (eigen AI-koppeling, alleen als de admin die toevoegt): geen subverwerker van Norwin. Norwin stuurt alleen naar een Europees eindpunt; het recht van het land van de aanbieder of zijn moedermaatschappij is een keuze en een risico van de klant, zie de tabel.
Microsoft en Google (identiteitsproviders, alleen als je zo inlogt): Amerikaanse bedrijven; geen subverwerker van Norwin, zie de tabel. Er gaat geen klantdata naar hen. De waarborgen hieronder gaan over subverwerkers en gelden niet voor wat Microsoft en Google zelf verwerken.
Voor deze partijen geldt: klantdata worden opgeslagen in de EU (Supabase), maar het recht van het land van de leverancier of zijn moedermaatschappij (bijvoorbeeld de Amerikaanse CLOUD Act of FISA 702) kan die partij verplichten gegevens te verstrekken, ook als de server in de EU staat. Vercel en GitHub kunnen daarnaast zelf in de VS verwerken. AWS verwerkt voor de AI-chat alleen in de EU. Daarom gelden de waarborgen hieronder.
Maatregelen tegen toegang door een overheid buiten de EU
Deze maatregelen gelden voor persoonsgegevens (AVG hoofdstuk V, verwerkersovereenkomst artikel 6) en, waar van toepassing, voor niet-persoonsgegevens (art. 32 Data Act).
Technisch
Versleuteling tijdens verzending (TLS) voor al het verkeer.
Versleuteling van gegevens in opslag bij Supabase.
Extra versleuteling op applicatieniveau voor de uitvoer van de procedure voor chatinhoud; de sleutel staat niet bij GitHub.
Scheiding tussen klanten met Row Level Security in de database, zodat een verzoek nooit per ongeluk meer dan de gevraagde workspace raakt.
Organisatorisch
Klantdata worden opgeslagen in de EU. Verwerking en toegang van buiten de EER vinden plaats voor ondersteunende functies, onder de waarborgen in Bijlage 3 van de verwerkersovereenkomst. Wat dat is, staat in de subverwerkerslijst.
Komt er een verzoek van een overheid buiten de EU om gegevens, dan:
informeren wij de klant, voor zover dat wettelijk mag;
betwisten wij het verzoek als daar redelijke gronden voor zijn;
verstrekken wij nooit meer dan strikt noodzakelijk (vergelijk art. 48 AVG en art. 32 Data Act).
Contractueel
Met elke leverancier buiten de EER gelden standaardcontractbepalingen (SCC's) van de Europese Commissie; de module per leverancier staat in Bijlage 3 van de verwerkersovereenkomst. Waar van toepassing geldt daarnaast het EU-VS Data Privacy Framework (DPF). Wordt het DPF geschorst of vernietigd, dan gelden voor die leveranciers vanaf dat moment de SCC's (verwerkersovereenkomst artikel 6.3). Voor Supabase (Singapore): zie de korte eigen motivering onder "Wat hier niet in staat".
De volledige lijst van leveranciers, hun rol en het doorgiftemechanisme staat in de verwerkersovereenkomst, Bijlage 3; deze pagina is onze subverwerkerslijst.
Wat hier niet in staat
Deze pagina gaat niet over de inhoud van je workspace; zie daarvoor de privacyverklaring en de verwerkersovereenkomst.
De verwerking door Microsoft en Google als identiteitsprovider van jouw eigen account valt onder hun eigen voorwaarden; Norwin stelt daarvoor geen doorgiftetoets op.
Norwin stelt geen doorgiftetoets op voor een AI-aanbieder die de klant zelf koos.
Een eigen doorgiftetoets (TIA) is niet verplicht voor een doorgifte naar een leverancier in de VS, voor zover het DPF geldt en de leverancier gecertificeerd is. Vercel, GitHub en AWS (Amazon.com, Inc., met Amazon Web Services, Inc. als gedekte entiteit) zijn gecertificeerd (https://www.dataprivacyframework.gov/list; voor AWS gecontroleerd op 5 oktober 2026, volgende hercertificering uiterlijk 2 januari 2027). Voor Supabase (Singapore) geldt geen adequaatheidsbesluit en geen DPF. Supabase staat niet op de DPF-lijst (gecontroleerd 2026-10-10); de doorgifte rust op de SCC's. Voor Supabase heeft Norwin een eigen doorgiftetoets opgesteld. Supabase Pte. Ltd. (Singapore) is contractpartij; moeder: Supabase Inc. (VS). De gegevens staan in Frankfurt (eu-central-1), versleuteld in rust. Supabase staat niet op de DPF-lijst (gecontroleerd 2026-10-10 op dataprivacyframework.gov). De doorgifte rust op de SCC's (module 3) uit de Supabase-DPA, onder Iers recht. Support en operations werken wereldwijd; toegang van buiten de EER is mogelijk en wordt gelogd. Norwin beoordeelt deze doorgifte voorlopig en herbeoordeelt haar binnen 12 maanden. Vervalt de DPF-certificering van een leverancier of vervalt het DPF zelf, dan stelt Norwin voor die leverancier alsnog een TIA op, op basis van de SCC's.
Wijzigingen
Versie 1.7, 12 oktober 2026: de interne melding aan ons team bij een nieuwe aanmelding (n8n en Slack) toegevoegd; de actuele modelnaam van de AI van Norwin staat op deze pagina (Bijlage 4, artikel 4.4); een wijziging van het model wordt 30 dagen vooraf aangekondigd. Versie 1.6, 10 oktober 2026: feitelijke doorgiftetoets voor Supabase (geen DPF, SCC's, herbeoordeling binnen 12 maanden); Exact als eigen verwerker voor facturatie genoemd; chat met de AI van Norwin per gesprek gekozen. Versie 1.5, 10 oktober 2026: Claude Sonnet 5.5 niet meer genoemd als huidige keuze (alleen volgens Bijlage 4, artikel 4.4); korte eigen motivering voor de doorgifte naar Supabase in plaats van de zin dat Norwin geen eigen TIA opstelt; uptimecheck gelijkgetrokken met Bijlage 3 (ook de statuswaarde rate_limited). Versie 1.4, 10 oktober 2026: eigen AI-koppeling en organisatiecontext toegevoegd; uptimecheck bij GitHub toegevoegd. Versie 1.3, 5 oktober 2026: optionele chat met AI en Amazon Web Services (Amazon Bedrock) als leverancier toegevoegd. Versie 1.2, 3 oktober 2026: inloggen met een Google-account als identiteitsprovider toegevoegd. Versie 1.1, 3 oktober 2026: inloggen met een Microsoft-werk- of schoolaccount als identiteitsprovider toegevoegd. Versie 1.0, 2 oktober 2026. Verandert een leverancier of een datalocatie, dan geldt de meldtermijn uit de verwerkersovereenkomst artikel 5.2 (minstens 30 dagen vooraf).